使用Silverlight隔离存储保持身份验证令牌？

Question

我想听听在Silverlight中使用隔离存储来存储敏感数据的一些意见。例如，是否可以在此存储中存储身份验证令牌（某些标识服务器端会话的GUID），还是使用cookie更好？

孤立存储比cookie有优势，因为它在不同的浏览器间共享，但处理过期可能会更困难，并且可能还有一些我不知道的其他问题（安全性）。

那么......你有什么意见？或者你知道关于这个话题的伟大文章吗？

谢谢，雅各布

Answer 1

我刚开始对使用独立存储来存储一个登录令牌以前被存储在cookie中，当应用程序写在ASP.NET Silverlight项目。

我注意到最终结果的唯一原因是每种浏览器都会记住同一个用户（与cookie解决方案相反，每个浏览器都有它自己的cookie存储，并且它自己是谁登录的）。

安全性不会有很大的不同 - 如果您感觉倾向于 - 加密令牌。虽然真的为什么你会打扰？如果任何进程访问某人的私人AppData，他们将可以访问各种机密信息。

该应用的网址决定了访问权限，因此除非您的域名过期，否则没有人可以获取该数据。

Answer 2

除了在多个浏览器实例之间共享令牌的优势之外，我个人从未见过这种需求，我想我现在坚持使用cookie。为什么？因为它们更好地支持代理服务器和HTTP加速器等中介。一般来说，我采用“使用标准”而不是“自己动手”的方法 - 这会导致维护的代码更少，新开发人员的代码更加熟悉。