Я создавал довольно много сайтов на базе MVC локально и наконец готов развернуть первый, но я довольно нервничаю.
Во время тестирования я заметил несколько вещей, которые меня беспокоили - я использую аутентификацию форм по умолчанию с несколькими настройками (хотя это никак не подчеркивает безопасность).
Я заметил, что если бы я создал пользователя в одном приложении и вошел в систему, а затем запустил другое приложение ... это позволило бы мне войти в систему * как пользователь из предыдущего приложения. Пользователь даже не существует в новом приложении!
* - я использовал [Authorize] на контроллерах и был удивлен, что могу просто войти без какой-либо аутентификации
Я предполагаю, что это потому, что cookie устанавливается для localhost, а не для приложения / порта (хотя я не слишком много могу сделать с этим при разработке).
На основании этого насколько безопасна аутентификация по умолчанию?
1. Можно ли в любом случае проверить по коду, что у пользователя нет «фальшивого» куки? / Проверить, что пользователь вошел в систему из моего приложения?
2. Мне просто интересно, есть ли какие-нибудь контрольные списки или что-нибудь, что я могу пройти перед развертыванием?
Sort of - 3. На момент написания этого вопроса: 1. Я предполагаю, что мог бы добавить столбец со случайным числом, которое сохраняется в cookie, и затем этот номер проверяется каждый раз, когда выполняется любая аутентификация ... однако, я не хотел начинать дурачиться с провайдером членства ... но я думаю, что это может сработать. Это хорошая идея?