“User.Identity.Name”安全吗？

Question

我在想我是否可以使用User.Identity.Name来查询我的数据库中的数据。
例如：

UsersBLL.GetPersonalInformation(string username) 

会User.Identity.Name的值传递给该方法是一个好主意？
User.Identity.Name的值可以被劫持吗？

Answer 1

它会被劫持吗？是的，例如，由于insufficient transport layer protection（该链接中的工作示例）会话劫持，但这对于会员提供商实施本身并不构成风险。

而不是围绕传递用户名，我会坚持到ID：

var user = Membership.GetUser(); 
var userId = (Guid?)user.ProviderUserKey; 

我认为取决于aspnet_Users用户表（假定，同样，你使用的是默认成员资格提供任何表），正在使用该ID作为外键而不是用户名。至少我希望是这样！

Answer 2

User.Identity.Name与其他任何方式一样安全。是否有可能劫持它？也许，如果你不使用SSL，而且你没有加密你的认证机制，但是如果你使用的是SSL并且使用了加密的FormsAuthentication或者Windows身份验证，你应该没问题。

基本上，如果你遵循良好的安全措施，它应该是完全安全的。至少不会比识别用户的其他方式更安全。

编辑：

这是假设你是不是键控你的表上的用户名，而是由会员用户ID，你的代码只是查找按名成员表中的用户ID。

如果您在用户名上键入表格，则需要考虑一些安全问题。其中之一就是Henk在他的回答中提到的。如果您不允许更改用户名或重复使用，那么这不是问题。