Использование форм аутентификации Cookie для роли кеша - (проверка подлинности Windows)

Question

Мне интересно, есть ли какие-либо риски или подводные камни во мне, используя событие WindowsAuthentication_OnAuthenticate, чтобы создать билет FormsAutnetication для хранения пользовательских ролей. Я беру эти роли из нескольких разных запросов (у меня нет разрешения на изменение схемы db, поэтому ...). Я не хочу использовать диспетчер ролей ASP.NET, и я обеспокоен тем, что если я не буду использовать файл cookie (по крайней мере один, который истекает каждые 30 минут или около того), то производительность может быть проблемой, поскольку WindowsAuthentication_OnAuthenticateis будет вызван для каждого запроса и я бы постоянно делал эти вызовы db (не говоря уже о необходимости расшифровать cooke и создать пользовательский принцип для моего контекста в событии Application_AuthenticateRequest).

Answer 1

Да и нет. Если это скомпрометировано, да, если нет. С точки зрения безопасности это не очень хорошая идея, и это было скомпрометировано, хотя оно быстро исправлено (см. Уязвимость ПОЭТ). Вам нужно решить, стоит ли риск того, что он вообще не является " т.

Почему бы не рассмотреть кеш-сервер, чтобы хранить эти данные вместо этого, и только кеш пуст, а затем проверить роли?