IE8&打开多个浏览器时 ASP.Net 表单身份验证 Cookie 失败

Question

我的登录页面上有以下代码。我用它来设置客户的登录超时。在 IE8 中，我遇到这样的问题：如果用户打开另一个浏览器窗口，然后在第一个窗口中注销，当他们重新登录时，他们会在一个页面后（每次）弹回到登录状态。如果他们不打开另一个浏览器，一切都很好。

我发现了很多与此相关的问题，但我发现唯一有效的解决方案是使用 cookieless 方法 (URI)。

我看到一些文章说要设置域，我正在这样做，但这不起作用。另外，我尝试将 authticket 设置为持久和非持久。两者都没有产生任何影响。我已经看到，一旦身份验证 cookie 从文件夹中消失，当我登录时它就不会重新创建。

如果我将第二个浏览器窗口作为“新会话”打开，我不会遇到任何问题。 （这是不切实际的，因为我们无法训练应用程序的每个用户以这种方式打开任何其他窗口。）

是否有任何人发现不涉及使用 cookieless URI 方法的解决方案？

int timeoutValue = 20 // This value is actually returned from a method;

FormsAuthenticationTicket authTicket = new FormsAuthenticationTicket(LoginControl.UserName, false, timeoutValue);            
string encryptedTicket = FormsAuthentication.Encrypt(authTicket);

HttpCookie authCookie = new HttpCookie(FormsAuthentication.FormsCookieName, encryptedTicket);                 
authCookie.Domain = "my.domain";
authCookie.Expires = DateTime.Now.AddMinutes(timeoutValue);

HttpContext.Current.Response.Cookies.Add(authCookie);

Answer 1

这是 Internet Explorer 的一项“功能”，用于跨浏览器窗口共享 cookie/会话。
因此，在 IE8 中创建“新会话”的新“功能”。
因此，我不认为有任何理想的方法可以轻松阻止这种行为。

当然，除了无cookie之外。

Answer 2

我知道这是一个老问题，但我一直在与同样的问题作斗争，我相信我有解决办法。我已经复制了这些确切的症状，并且也能够成功消除它们（至少到目前为止）。

只有在您想要持久身份验证票证时才在 cookie 上设置过期时间才能消除我的问题。

这是我现在的方法：

internal static void CreateAuthenticationCookie(string userName, bool rememberMe, bool expired = false)
{
    int timeout = expired ? -1440 : (rememberMe ? 43200 : 20); // Timeout in minutes, 525600 = 365 days, 1440 = 1 day.
    FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(1, userName, DateTime.Now, DateTime.Now.AddMinutes(timeout), rememberMe, string.Empty);
    string encrypted = FormsAuthentication.Encrypt(ticket);
    var cookie = new HttpCookie(FormsAuthentication.FormsCookieName, encrypted);

    if (rememberMe)
        cookie.Expires = System.DateTime.Now.AddMinutes(timeout);

    HttpContext.Current.Response.Cookies.Add(cookie);
}

以下是我如何调用它：

if(createPersistentCookie)
    CreateAuthenticationCookie(userName, createPersistentCookie);
else
    FormsAuthentication.SetAuthCookie(userName, createPersistentCookie);

我意识到通过调用它的方式，不需要 CreateAuthenticationCookie 方法上的“记住我”参数（因为我总是在这种情况），但我还没有重构它，它更好地展示了其他人可能想要如何使用它。

如果用户选择不“记住我”，我想要一种轻松滑动过期的方法，但如果他们确实选择“记住我”，我不想被限制在非“记住我”的 30 分钟超时用户。我的目的是，如果有人使用公共计算机，他们会获得滑动过期时间，并且不会记住我，但如果他们使用个人计算机，他们可以“记住我”，而不会受到 web.config 中超时设置的限制。不知道这一切都适用于您的情况，但我希望它对某人有所帮助，或者我的方法可以引起一些建设性的批评，以便我可以在需要时进行调整。

附言。以下是我的表单身份验证的 web.config 设置：

<authentication mode="Forms">
      <forms loginUrl="~/Account/LogOn" timeout="30" slidingExpiration="true"/>
</authentication>