如何实现“注销”功能 使用 ASP.NET MVC 链接？

Question

这似乎是一个非常愚蠢的问题，但我正在尝试找出最好的方法来做到这一点。 您是否会简单地重定向到 /Logout 页面并让控制器调用 FormsAuthentication.SignOut 函数？

这是我的第一个想法，但后来我想知道它是否会被第三方网站滥用。 假设有人刚刚决定发布一个指向您的 /Logout 页面的链接。 用户将从您的应用程序中注销。 有没有好的办法来防止呢？

Answer 1

新的 ASP.net MVC Beta 包含一个 AccountController，它可能值得一看，因为它本质上实现了从注册到登录/注销再到忘记密码功能的所有功能。 不确定它有多好，但肯定是一个很好的起点。

Answer 2

从 ActionResult 派生

public class LogoutResult : ActionResult
{
    private readonly IAuthenticationService _authenticationService;
    private readonly IWebContext _context;

    public LogoutResult(IAuthenticationService authenticationService, IWebContext context)
    {
        _authenticationService = authenticationService;
        _context = context;
    }

    public override void ExecuteResult(ControllerContext context)
    {
        _authenticationService.Logout();
        _context.Abandon();
        _context.Redirect("~/");
    }
}

Answer 3

您应该寻找 cookie 或其他将客户端识别为真正用户的东西。

Answer 4

如果您担心用户通过使用恶意链接意外注销您的应用程序，您可以检查引用者以确保注销来自您的网站（或者在用户简单键入的情况下为 NULL）中的网址）。

实际上我并不担心这一点，因为注销某人很烦人，但不一定存在安全风险。

Answer 5

此类恶意链接是一类安全漏洞的示例，称为跨站点请求伪造 (CSRF)。 注销链接相对无害，但远程站点可以设置许多隐藏表单并将它们发布到您的站点，以通过 POST 执行任何可能的操作。

最常见的对策是在每个表单中包含一个挑战、一个随机隐藏值，然后检查该值。 检查引用标头可能有效，但请注意，某些浏览器根本不发送引用。

了解更多：http://en.wikipedia.org/wiki/Cross-site_request_forgery

Answer 6

这是一个老问题，但这里有一个 MVC 的现代示例：

[Authorize]
public RedirectResult Logout()
{
    FormsAuthentication.SignOut();

    return this.Redirect("/");
}

您可以确保 Logout 操作只能由通过应用 Authorize 登录的人调用code> 属性给它。

Answer 7

这就是我用的。

public ActionResult Logout()
{
    FormsAuthentication.SignOut();
    return RedirectToAction("Index", "Home");
}

似乎工作正常。

第三方网站只会自行退出。 因此，他们不会获得与实际单击“注销”不同的任何效果。