Это не бесполезный вопрос, но я должен сказать, что я думаю, что ваша логика подозрительна.Нет ничего плохого в том, чтобы рассмотреть альтернативные решения для аутентификации, но недавно объявленная уязвимость ASP.NET не должна подталкивать вас отказаться от текущего (предположительно работающего) решения.Я также не совсем уверен, какова актуальность этого комментария:
Из того, что я понимаю, Microsoft склонна хранить вещи на стороне клиента, потому что это облегчает работу на фермах серверов без необходимости базы данныхвызовы доступа.
Что это за уязвимость, которая заставляет вас думать, что аутентификация ASP.NET форм нарушена не больше, чем другое решение?
Может показаться, что подробности из справочника MSпредположить, что практически любая другая система аутентификации может быть сделана так же уязвимой для атаки.Например, любое решение, использующее файл web.config для хранения настроек, все равно будет иметь свои настройки, открытые для всего мира, при условии успешной атаки.
Реальное решение здесь состоит не в изменении безопасности, а в примененииопубликовано решение проблемы.Вы можете переключить провайдеров аутентификации только для того, чтобы обнаружить, что вы по-прежнему уязвимы, и ваши усилия ничего не принесли.
Относительно токенов / сессий: вы должны отправить что-то клиенту, чтобы аутентификация работала(называете ли вы это токеном или нет), и это не та часть процесса, которая вызывает текущую проблему безопасности: именно то, как сервер отвечает на определенные вызовы, делает этот секрет уязвимым для атаки.