Реализовать безопасную аутентификацию с авторизацией в MVC

Question

Мне нужно внедрить защищенную систему, в MVC, которая распознает, что вошедший в систему пользователь выполняет надлежащие шаги аутентификации.

Могу ли я узнать, какая схема аутентификации будет лучше из следующих:

1. При аутентификации формы будет использоваться cookie, который, в свою очередь, получит данные пользователя на основе cookie.При проверке формы у нас есть преимущество, заключающееся в том, что при наличии файла cookie, доступного в браузере, система автоматически войдет в систему с этого.

2. Сохранение информации о зарегистрированном пользователе в сеансе и проверка того, что пользователь вошел в систему. Но еслисеанс истекает, нам нужно выйти из системы.Предположим, что пользователю нужно работать до целого дня, некоторое время пользователь может оставить без взаимодействия на 20 минут, система автоматически отключает пользователя.

3. Сохранение данных зарегистрированного пользователя в сеансе сервера sqlчто будет иметь проблемы с производительностью.

Так что мне нужно реализовать безопасную и ориентированную на производительность схему, которая будет защищать информацию пользователя, а также иметь такие преимущества, как автоматический вход с cookie.

Основная цель - сохранить, какой пользователь вошел в систему, и он должен пройти аутентификацию через систему, к которой он обращается, и безопасно выйти из системы

Answer 1

Опция 1 небезопасна, поскольку вы можете выбрать данные cookie и вставить их в другой браузер, чтобы выдать себя за пользователя.

Я использую опцию 2 например, с моего сайта, потому что он имеет безопасную структуру.Если браузер закрыт и снова открыт, сеанс уничтожается, но вы всегда можете использовать его, если один и тот же браузер открыт для доступа к вашему профилю без необходимости входа в систему.

Опция 3 *У 1010 * слишком много усилий по редактированию и обработке, поэтому я бы не рекомендовал это делать.

Поддержка пользователя просто упадет, если вы сохраните пользовательские данные в базе данных через административную панель, которую вы создаете.Таким образом, у вас есть возможность установить систему ACL позже.