使用表单身份验证在 ASP.NET MVC 上的何处存储已记录的用户信息？

Question

我在我的应用程序上使用 ASP.NET MVC 和表单身份验证。基本上我使用 FormsAuthentication.SetAuthCookie 登录，使用 FormsAuthentication.SignOut 注销。

在 HttpContext.Current.User.Identity 中，我存储了用户名，但我需要有关已登录用户的更多信息。我不想将整个用户对象存储在会话中，因为它可能很大并且包含比我需要的更多信息。

您认为创建一个名为 LoggedUserInfo 的类（仅包含我需要的属性）然后将其添加到会话变量 中是个好主意吗？这是一个好方法吗？

或者你有更好的想法吗？

Answer 1

我使用这个解决方案：

ASP.NET 2.0 Forms 身份验证 -保持自定义但简单

总结一下：我创建了自己的 IPrincipal 实现。它存储在 HttpContext.Current.Cache 中。如果它以某种方式丢失，我可以从客户端授权 cookie 获得用户名并可以重建它。该解决方案不依赖于会话，会话很容易丢失。

编辑

如果您想在控制器中使用主体并使其可测试，您可以执行以下操作：

    private MyPrincipal _myPrincipal;
    MyPrincipal MyPrincipal
    {
        get
        {
            if (_myPrincipal == null)
                return (MyPrincipal)User;
            return _myPrincipal;
        }
        set
        {
            _myPrincipal = value;
        }
    }

在测试中，您将设置准备测试的对象。否则将从 HttpContext 中获取。现在我开始思考，为什么我要用 Ninject 来做这件事？

Answer 2

将其存储在会话的服务器端。

例如。

// Make this as light as possible and store only what you need
public class UserCedentials
{
    public string Username { get; set; }
    public string SomeOtherInfo { get; set; }
    // etc...
}

然后，当他们登录时，只需执行以下操作来保存用户信息：

// Should make typesafe accessors for your session objects but you will
// get the point from this example
Session["UserCredentials"] = new UserCredentials()
    { Username = "SomeUserName", SomeOtherInfo = "SomeMoreData" };

然后每当您需要它时就获取它：

UserCredentials user = (UserCredentials)(Session["UserCredentials"]);

我已经编写了一些关于在 MVC 中进行自定义授权的问题/答案：
如何实现授权检查基于会话数据的 ASP.NET MVC？

授权标签如何工作？ - Asp.net Mvc

Answer 3

我实际上喜欢使用我在登录操作方法中设置的 CustomPrincipal 和 CustomIdentity，例如

        if (!String.IsNullOrEmpty(username) && !String.IsNullOrEmpty(password) && _authService.IsValidLogin(username, password))
        {
            User objUser = _userService.GetUserByName(username);
            if (objUser != null)
            {
                //** Construct the userdata string
                string userData = objUser.RoleName + "|" + objUser.DistrictID + "|" + objUser.DistrictName + "|" + objUser.ID + "|" + objUser.DisplayName;
                HttpCookie authCookie = FormsAuthentication.GetAuthCookie(username, rememberMe.GetValueOrDefault());
                FormsAuthenticationTicket ticket = FormsAuthentication.Decrypt(authCookie.Value);
                FormsAuthenticationTicket newTicket = new FormsAuthenticationTicket(ticket.Version, ticket.Name, ticket.IssueDate, ticket.Expiration, ticket.IsPersistent, userData);
                authCookie.Value = FormsAuthentication.Encrypt(newTicket);
                Response.Cookies.Add(authCookie);
                return RedirectToAction("Index", "Absence");
            }
            else
            {
                return RedirectToAction("LogOn", "Account");
            }
        }
        else
        {
            return RedirectToAction("LogOn", "Account");
        }

然后在自定义主体中，您可以使用方法来访问传递给构造函数的特定信息，例如

((CustomIdentity)((CustomPrincipal)HttpContext.Current.User).Identity).DisplayName;

在 CustomIdentity 类中声明 DisplayName 属性的位置。

Answer 4

好吧，你必须将这些存储在某个地方。但有两个主要可能的地方：

服务器

您可以将它们放入会话中。我建议您创建一个单独的类，仅保存您实际需要的数据，以避免浪费太多内存。或者，您也可以存储到缓存中，当存在大量并发用户时，最终可能会产生许多数据库调用。

客户端

在这种情况下，如果您可以使用单独的类限制数据量，并使用任何方式对其进行序列化并将其发送到客户端。无论是在 cookie 中还是在 URI 中（如果长度允许并且禁用 cookie）...

这些想法的结果：
如果您通过这种方式获得了很多内存资源，这里的主要内容是创建一个单独的类。所以这是你应该做的第一件事。