无法在 cookieless 模式下设置 FormsAuthenicationTicket.UserData

Question

我正在尝试实现 this 的“将信息写入 UserData”部分文章，但当 cookie 是 URI 的一部分时，它无法正常工作。

我的代码：

// Create the cookie that contains the forms authentication ticket
HttpCookie authCookie = FormsAuthentication.GetAuthCookie( userName, createPersistantCookie );

// Get the FormsAuthenticationTicket out of the encrypted cookie
FormsAuthenticationTicket ticket = FormsAuthentication.Decrypt( authCookie.Value );

// Create a new FormsAuthenticationTicket that includes our custom User Data
FormsAuthenticationTicket newTicket = new FormsAuthenticationTicket( ticket.Version, ticket.Name, ticket.IssueDate, ticket.Expiration, ticket.IsPersistent, "foo");

// Update the authCookie's Value to use the encrypted version of newTicket
authCookie.Value = FormsAuthentication.Encrypt( newTicket );

// Manually add the authCookie to the Cookies collection
HttpContext.Current.Response.Cookies.Add( authCookie );

// Determine redirect URL and send user there
string redirUrl = FormsAuthentication.GetRedirectUrl( userName, createPersistantCookie );

HttpContext.Current.Response.Redirect( redirUrl, false );

当使用 cookieless 时，页面会重定向，但无法获取包含 cookie 信息的正确 URI，因此它会循环回到我的登录页面，其中 Request.IsAuthenticated 返回 false。 随之而来的是无限循环。

如何重定向到正确的 URI？

Answer 1

我发现这是一个有趣的问题，因此我开始对 .net 框架源代码进行一些挖掘、测试和一些调试。

基本上，您尝试做的事情是行不通的。 如果浏览器不支持 cookie，您放入 Response.Cookies 集合中的任何内容都将被忽略。 您可以检查Request.Browser.Cookies以查看是否支持cookie。

在asp.net中，会话状态和身份验证都支持无cookie模式，但这并不扩展到其他cookie。 事实上，似乎会话和身份验证本身甚至可以设置为不同的操作模式。

身份验证系统可以将其自己的数据存储在 URI 中，但它是通过直接操作 URI 本身来实现的。 遗憾的是，微软似乎没有向身份验证模块之外的代码公开这些功能。

基本上，如果您使用 FormsAuthentication.GetAuthCookie() 和 FormsAuthentication.SetAuthCookie() 等方法，那么身份验证系统会自动为您将该信息放入 URI...但它不允许您提供自定义的这些方法的身份验证票证...因此您只能使用默认的身份验证票证。在这些情况下，您需要自行存储任何自定义数据。

无论如何...

如果身份验证系统已经无 cookie，那么将自定义数据直接存储在身份验证票证中确实没有太大优势...在无 cookie 模式下，诸如“持久 cookie”之类的内容没有任何意义，因此您将重新生成无论如何，每个会话至少一次数据。

对于无 Cookie 但仍需要此类自定义数据的情况，最常见的建议是启用无 Cookie 会话，并将自定义数据存储为会话变量。 会话 ID 将放入 URI 中，但自定义数据将保留在服务器的内存中。 无论您的会话是否无 cookie，使用模式都是相同的。

如果您确实愿意，您可以设计一个手动将自定义数据存储在 URI 中的系统。 最简单的方法是将自定义数据放入查询字符串或使用路径数据。 与会话变量相比，我看不出它有任何真正的优势，除非您只是不顾一切地不使用服务器内存（向服务器添加一点内存很便宜，丑陋的 URL 并手动编写代码来处理它们并不便宜）。

Answer 2

谢谢你的精彩解释，斯蒂芬。 如果用户不允许 cookie，我将不得不避免 UserData 并从数据库加载数据。

在上面列出的代码之前我会这样做：

if( !HttpContext.Current.Request.Browser.Cookies || !FormsAuthentication.CookiesSupported )
{
    FormsAuthentication.RedirectFromLoginPage( userName, false);
    return;
}