我们有一个使用 native 表单例份验证和 session 功能的 ASP.NET 4.5 WebForms 应用程序。两者都有 20 分钟的超时，滑动到期。

想象一下以下场景。用户在我们的应用程序中工作了一段时间，然后继续做其他事情，使我们的应用程序闲置了 20 分钟。然后用户返回到我们的应用程序以编写报告。但是，当用户尝试保存时，他/她会看到登录屏幕，并且报告会丢失。

显然，这是不需要的。我们希望在身份验证或 session 过期时将浏览器重定向到登录页面，而不是这种情况。为了实现这一点，我们构建了一个 Web Api 服务，可以调用该服务来检查是否是这种情况。

public class SessionIsActiveController : ApiController
{
    /// <summary>
    /// Gets a value defining whether the session that belongs with the current HTTP request is still active or not.
    /// </summary>
    /// <returns>True if the session, that belongs with the current HTTP request, is still active; false, otherwise./returns>
    public bool GetSessionIsActive()
    {
        CookieHeaderValue cookies = Request.Headers.GetCookies().FirstOrDefault();
        if (cookies != null && cookies["authTicket"] != null && !string.IsNullOrEmpty(cookies["authTicket"].Value) && cookies["sessionId"] != null && !string.IsNullOrEmpty(cookies["sessionId"].Value))
        {
            var authenticationTicket = FormsAuthentication.Decrypt(cookies["authTicket"].Value);
            if (authenticationTicket.Expired) return false;
            using (var asdc = new ASPStateDataContext()) // LINQ2SQL connection to the database where our session objects are stored
            {
                var expirationDate = SessionManager.FetchSessionExpirationDate(cookies["sessionId"].Value + ApplicationIdInHex, asdc);
                if (expirationDate == null || DateTime.Now.ToUniversalTime() > expirationDate.Value) return false;
            }
            return true;
        }
        return false;
    }
}

此 Web Api 服务由客户端每 10 秒调用一次，以检查身份验证或 session 是否已过期。如果是这样，脚本会将浏览器重定向到登录页面。这就像一个魅力。

但是，调用此服务会触发身份验证和 session 的滑动到期。因此，从本质上讲，创建永无止境的身份验证和 session 。我在服务的开始设置了一个断点来检查它是否是我们自己的函数之一触发了这个。但事实并非如此，它似乎发生在 ASP.NET 中更深的某个地方，在服务执行之前。

1. 有没有办法针对特定请求禁止触发 ASP.NET 的身份验证和 session 滑动过期？
2. 如果不是，解决这种情况的最佳做法是什么？

最佳答案

1. 这似乎是不可能的。一旦启用滑动过期，它总是被触发。如果有一种方法可以在不扩展它的情况下访问 session ，我们还没有找到它。

2. 那么如何应对这种情况呢？对于问题中最初提出的解决方案，我们提出了以下替代解决方案。这个实际上效率更高，因为它不使用网络服务每隔 x 秒给家里打电话。

因此我们希望有一种方法可以知道 ASP.NET 的表单例份验证或 session 何时过期，以便我们可以主动注销用户。每个页面上的简单 javascript 计时器(Khalid Abuhakmeh 的 as proposed)是不够的，因为用户可能同时在多个浏览器窗口/选项卡中使用该应用程序。

为了简化这个问题，我们做出的第一个决定是使 session 的过期时间比表单例份验证的过期时间长几分钟。这样， session 将永远不会在表单例份验证之前过期。如果下次用户尝试登录时有一个挥之不去的旧 session ，我们将放弃它以强制一个新的新 session 。

好吧，现在我们只需要考虑表单例份验证过期。

接下来，我们决定禁用表单例份验证的自动滑动过期(在 web.config 中设置)并创建我们自己的版本。

public static void RenewAuthenticationTicket(HttpContext currentContext)
{
    var authenticationTicketCookie = currentContext.Request.Cookies["AuthTicketNameHere"];
    var oldAuthTicket = FormsAuthentication.Decrypt(authenticationTicketCookie.Value);
    var newAuthTicket = oldAuthTicket;
    newAuthTicket = FormsAuthentication.RenewTicketIfOld(oldAuthTicket); //This triggers the regular sliding expiration functionality.
    if (newAuthTicket != oldAuthTicket)
    {
        //Add the renewed authentication ticket cookie to the response.
        authenticationTicketCookie.Value = FormsAuthentication.Encrypt(newAuthTicket);
        authenticationTicketCookie.Domain = FormsAuthentication.CookieDomain;
        authenticationTicketCookie.Path = FormsAuthentication.FormsCookiePath;
        authenticationTicketCookie.HttpOnly = true;
        authenticationTicketCookie.Secure = FormsAuthentication.RequireSSL;
        currentContext.Response.Cookies.Add(authenticationTicketCookie);
        //Here we have the opportunity to do some extra stuff.
        SetAuthenticationExpirationTicket(currentContext);
    }
}

我们从应用程序的 BasePage 类中的 OnPreRenderComplete 事件调用此方法，所有其他页面都继承自该类。它与正常的滑动到期功能完全相同，但我们有机会做一些额外的事情；比如调用我们的 SetAuthenticationExpirationTicket 方法。

public static void SetAuthenticationExpirationTicket(HttpContext currentContext)
{
    //Take the current time, in UTC, and add the forms authentication timeout (plus one second for some elbow room ;-)
    var expirationDateTimeInUtc = DateTime.UtcNow.AddMinutes(FormsAuthentication.Timeout.TotalMinutes).AddSeconds(1);
    var authenticationExpirationTicketCookie = new HttpCookie("AuthenticationExpirationTicket");
    //The value of the cookie will be the expiration date formatted as milliseconds since 01.01.1970.
    authenticationExpirationTicketCookie.Value = expirationDateTimeInUtc.Subtract(new DateTime(1970, 1, 1)).TotalMilliseconds.ToString("F0");
    authenticationExpirationTicketCookie.HttpOnly = false; //This is important, otherwise we cannot retrieve this cookie in javascript.
    authenticationExpirationTicketCookie.Secure = FormsAuthentication.RequireSSL;
    currentContext.Response.Cookies.Add(authenticationExpirationTicketCookie);
}

现在我们有一个额外的 cookie 供我们使用，它始终代表正确的表单例份验证过期时间，即使用户在不同的浏览器窗口/选项卡中工作。毕竟，cookie 具有浏览器范围。现在唯一剩下的就是一个 javascript 函数来验证 cookie 的值。

function CheckAuthenticationExpiration() {
    var c = $.cookie("AuthenticationExpirationTicket");
    if (c != null && c != "" && !isNaN(c)) {
        var now = new Date();
        var ms = parseInt(c, 10);
        var expiration = new Date().setTime(ms);
        if (now > expiration) location.reload(true);
    }
}

(请注意，我们使用 jQuery Cookie Plugin 来检索 cookie。)

将此函数置于一个时间间隔内，用户将在他或她的表单例份验证过期时注销。 Voilà :-) 此实现的一个额外好处是您现在可以控制何时延长表单例份验证的到期时间。如果您想要一堆不延长到期时间的 Web 服务，请不要为它们调用 RenewAuthenticationTicket 方法。

如果您有任何要补充的，请发表评论!

关于c# - 关于 ASP.NET 的表单例份验证和 session 的滑动到期，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/14629212/