asp.net-mvc - 在 asp 身份声明和 session 数据之间进行选择

Question

我试图在我的 MVC 应用程序中将用户特定数据存储为身份声明或 session 数据之间做出选择，以减少请求的数据库往返次数和频率。但是，考虑到性能、安全性和其他最佳实践方面的考虑，我不知道该走哪条路。

我将不胜感激对此的任何建议。

Answer 1

您为应用程序存储用户数据的方式在很大程度上取决于应用程序本身。但作为指导，使用基于声明的身份验证并将声明存储在 session cookie 中是一种非常常见的方法。看看asp.net身份-http://www.asp.net/identity/overview/getting-started/introduction-to-aspnet-identity

您应该能够优化存储在 session cookie 中的数据。例如: - 如果您的应用程序始终需要在每个页面上显示用户的姓名，您可以在 session cookie 中声明名称。但是，如果您需要仅在一个“用户个人资料”页面中显示其他用户信息，如地址、公司等...，您可以使用存储在 session cookie 中的“nameidentifier”声明在数据库中查询这些详细信息。如果您查看 ASPNET 身份，您会发现您不需要直接使用 session cookie 作为 cookie 身份验证中间件，确保声明可通过 MVC Controller 的用户属性(或 ClaimsPrinciple.Current)获得。您应该决定哪些声明应该通过 User 属性对所有请求可用，哪些用户属性应该通过一些 userInformation 数据库进行查询。当然，您应该将 key (名称标识符或电子邮件)存储到声明中的 userInformation 数据库中，以便您可以随时查询数据库。