在ASP .NET服务器上存储会话标记

Question

我是Web新手。现在我正在尝试使用Cookie开发自定义用户身份验证。当用户登录时，我使用包含userId和随机生成的会话令牌guid的cookie提供服务器响应。当用户请求服务器时，它从请求中提取认证cookie，以便服务器获取有关userId和用户会话的信息。

我的问题是：我应该在哪里存储和检查与用户请求一起出现的会话令牌？如果malefactor会用假的userId和会话令牌伪造cookie，会怎么样？

现在我的程序中没有地方存储，然后检查userId和它们的会话标记之间的映射。

Answer 1

要强制执行A​​SP.NET MVC应用程序的安全性，可以使用Anti Forgery Tokens。

我建议你不要实现你的“自定义”用户认证，但看看ASP.NET Identity。它非常灵活，涵盖了大部分必要的身份验证方案。