IIS 6 / .Net 2: Как пользователь A может получить cookie пользователя для несвязанного пользователя B, который находится в другом сеансе и в другом окне?

Question

1) пользователь A заходит на сайт, создает учетную запись и входит в систему 2) пользователь b заходит на сайт. Вместо того, чтобы входить в систему, пользователь b вводит, как если бы пользователь b был пользователем a. Пользователь b получает доступ ко всем данным пользователя a и может просматривать сайт как пользователь a.

Примечание: пользователь b не входит в систему. Пользователь b просто заходит на сайт, и сайт возвращается, как если бы пользователь b уже вошел в систему как пользователь a.

Примечание 2: пользователь a и пользователь b находятся на разных компьютерах. Кроме того, статические переменные не участвуют в коде.

Настройка: IIS 6 .Net 2.0 Выходной кэш отключен для страниц сайта

Answer 1

Убедитесь, что вы не храните данные в статических (c #) или общих (VB) переменных.

Answer 2

Из исследований других членов команды:

Несмотря на то, что файл cookie для аутентификации может быть в изображениях с портала, cookie-файл для проверки подлинности с билетом для Дэвида никогда не должен был отправляться Браузер Тодда. Кроме того, если изображения кешируются где-то так, что разные пользователи получают файлы аутентификации другого пользователя, тогда я предполагаю, что эта проблема может возникнуть довольно часто и должно повторяться. Однако мне интересно, если это система с балансировкой нагрузки, и если да, то кэширует балансировщик нагрузки?

На основании известной проблемы пользователей, разделяющих сеансы в результате вывода Кэширование с ASP.NET, IIS 6.0 и Windows 2003 Server, проблема может быть только повторяемые 1 из 100 000 запросов (см. «Кэширование сессий и вывода») раздел этой статьи) http://msdn.microsoft.com/en-us/magazine/cc163577.aspx

Answer 3

Этот вопрос очень похож на Ошибка Apache / Tomcat - доставляются неправильные страницы . Как указано в моем ответе на этот вопрос, если вы используете сеансовые файлы cookie, проверьте правильность заголовка Vary.