.net - 联合身份验证 token 保存在哪里 [WIF STS]？

Question

当我开始探索 WIF 时，我对以下内容存有疑问:

在Windows Identification Foundation[WIF]中，查看Security Token Service[STS]，我想知道在哪里联合身份验证 token 正在被拯救？

我认为它在浏览器 cookie 中，如果是这样，任何人都可以让我了解它吗？

Answer 1

我使用“Fiddler”网络调试器来找到这个问题的答案。发生的情况如下: 假设您的应用程序的名称是 SecureApp您的 STS 名称是 SecurePortal .

当您将浏览器指向 SecureApp 时发生的第一件事是它会检查您是否已通过身份验证。如果你不是，你会立即被重定向到 SecurePortal带有一个查询字符串，表明您正在登录 SecureApp .

一旦您使用 SecurePortal 登录，WIF 框架产生一个 HttpResponse来自 SecurePortal其中包含一些“隐藏”HTML 字段，其中包含表明您已成功登录的值。这些值可能会根据 SecurePortal 的设置进行签名和/或加密。 .与这些值一起编写了一些 Javascript 代码，以使浏览器将值发布到 SecureApp .一旦这些值通过 SecureApp 验证，框架会写一个HttpResponse带有表明您已登录的 cookie。根据我的经验，cookie 的名称以“FedAuth”开头。此时，您现在可以访问 SecureApp 内的页面。 .

另外，我想指出该框架似乎有某种方法可以防止手动删除它设置的 cookie。

我建议您使用 Web 调试器并自行观察此过程以更好地理解。

简短的回答: token 首先作为 HttpResponse 提供给您的浏览器。在 STS 中，然后作为应用程序中的 cookie 再次提供给您的浏览器。