表单身份验证超时和会话超时的差异

Question

使用此 web.config 元素设置会话状态超时 使用

<sessionState mode="InProc" cookieless="false" timeout="120" />

此 web.config 元素配置表单身份验证

<system.web>
  <authentication mode="Forms">
    <forms loginUrl="Login.aspx"
           protection="All"
           timeout="30"
           name=".ASPXAUTH" 
           path="/"
           requireSSL="false"
           slidingExpiration="true"
           defaultUrl="default.aspx"
           cookieless="UseDeviceProfile"
           enableCrossAppRedirects="false" />
  </authentication>
</system.web>

每个元素中指定的超时之间有什么区别？如果两者不同，它会如何工作？

Answer 1

每当新用户访问网站时，无论他们是否匿名，都会启动会话。身份验证与会话关系不大。

身份验证超时是身份验证 cookie 在用户浏览器上有效的时间量。一旦 cookie 过期，他们必须重新进行身份验证才能访问网站上受保护的资源。

因此，如果会话在身份验证 cookie 之前超时 - 它们仍然经过身份验证，但所有会话变量都会消失，并且如果您不遵守检查空值和丢失会话所带来的其他条件的规定，可能会导致您的网站出现错误。

如果身份验证在会话之前超时，则其所有会话变量仍将存在，但在重新登录之前将无法访问受保护的资源。

Answer 2

正如预期的那样。

例如，如果您的会话在 20 分钟后超时，您的会话变量将丢失。
但用户可以访问受身份验证保护的页面。

如果身份验证超时，用户将无法访问其保护的页面，并且会话的状态无关紧要。

Answer 3

会话超时值必须小于 FormsAuthentication 超时时间。因为会话可能由于某种原因而被删除，并且该场景将不起作用。

如果会话超时，请检查 FormsAuthentication Ticket。如果票证有效且未超时，则在登录页面重新生成会话（在 web.config 文件中定义为 FormsAuthentication 设置的 LoginUrl 参数）。

如果 FormsAuthentication 超时，ASP.NET FormsAuthentication 将自动将用户重定向到登录页面，并且用户必须再次登录。

不要忘记，当票证超时时，FormsAuthentication 会自动将用户重定向到登录页面。

实际上我更喜欢这种结构：

1. 为需要登录的页面创建一个 BasePage.cs。

2. 在 BasePage.cs 中的 Page_Init 处检查会话。如果会话已过期；将用户重定向到登录页面。

   if (Session["UserId"] == null) Response.Redirect("Login.aspx", true);

3. 在 Login.aspx 中的 Page_Load 处，正确检查会话和 FormsAuthentication 票证时间。

    //用户已经有一个会话；将用户重定向到主页。 
       if (SessionHandler.UserId!= 0)
           Response.Redirect("HomePage.aspx");
       别的 
       {
           //会话被杀死；检查机票是否有效
           if (Context.User.Identity != null && Context.User.Identity.IsAuthenticated)
           {
               //使用FormsAuthentication的值
               var customDataToCheck = Context.User.Identity.Name;
   
               //使用值检查用户是否确实存在并检查用户会话的数据库
               var user = CheckUserData(customDataToCheck);
               if (用户！= null)
               {
                   //在这里开始会话 
                   SessionHandler.StartSession(用户);
   
                   //将用户重定向到您想要的页面。 
                   Response.Redirect("HomePage.aspx?ref=regenerate_session");
               }                    
           }
       }
   

4. 在 Login.aspx 中使用 FormsAuthentication 创建 cookie。

   if (用户名 == "testuser" && 密码 == "testpassword")
   {
   //用户数据将被写入cookie，存储用户数据，您可以检查用户是否有效（例如Username或UserId）。
   System.Web.Security.FormsAuthentication.SetAuthCookie("testUserData", keepMeSignedInCheckBox.Checked);
   Response.Redirect("HomePage.aspx");
   }