Использование файла cookie проверки подлинности с помощью форм для кэширования ролей - (проверка подлинности Windows) - PullRequest
1 голос
/ 09 февраля 2012

Мне интересно, есть ли какие-либо риски или ловушки, связанные со мной, используя событие WindowsAuthentication_OnAuthenticate для создания билета FormsAutnetication для хранения пользовательских ролей. Я получаю эти роли из пары разных запросов (у меня нет разрешения на изменение схемы БД, поэтому ...). Я не хочу использовать диспетчер ролей ASP.NET, и меня беспокоит то, что, если я не использую куки (по крайней мере, один, срок действия которого истекает каждые 30 минут или около того), то производительность может быть проблемой, так как WindowsAuthentication_OnAuthenticateis будет вызываться для каждого запроса и я бы постоянно делал эти вызовы БД (не говоря уже о необходимости расшифровывать кук и создавать собственный принципал для моего контекста по событию Application_AuthenticateRequest).

1 Ответ

3 голосов
/ 09 февраля 2012

Да и нет.Если это скомпрометировано, да, если нет. С точки зрения безопасности это не очень хорошая идея, и это было скомпрометировано, хотя и быстро исправлено (см. Уязвимость POET). Вам решать, стоит ли риск того, чего обычно нет..

Почему бы не рассмотреть кеширование на стороне сервера для хранения этих данных, и только кеш пуст, а затем проверить роли?

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...