在客户端保护 ASP.NET 表单身份验证令牌？

Question

在我的网站中，我没有使用任何身份验证或授权。我创建了登录页面来捕获用户凭据并检查数据库。如果用户成功通过身份验证，则会将用户数据存储在会话中并导航到其他页面。

如何考虑实现表单身份验证，但我关心的是出于安全原因如何保护客户端浏览器中的身份验证令牌。有谁知道如何保护身份验证令牌？

Answer 1

会议：
为您的 Web 应用程序提供快速、可扩展且安全的会话状态管理

身份验证：
如何：在 ASP.NET 2.0 中保护表单身份验证

 < strong>第 1 步.配置

确保您的表单身份验证
票证已加密且完整性
通过设置保护=“全部”来检查
元素。这是
默认设置，您可以查看此
在 Machine.config.comments 文件中。

<forms protection="All" ... />

步骤 2. 使用 SHA1 生成 HMAC，使用 AES 加密

<machineKey 
   validationKey="AutoGenerate,IsolateApps"
   decryptionKey="AutoGenerate,IsolateApps"
   decryption="Auto" 
   validation="SHA1" />

步骤 3. 使用 SSL 保护身份验证票证

<forms loginUrl="Secure\Login.aspx"
       requireSSL="true" ... />