Thread.CurrentPrincipal 错误地声称是任意的

Question

我在我的服务器上看到似乎是由任何匿名客户端发出的请求，尽管我确信它们是由经过身份验证的用户发出的 - 我有 fiddler 日志显示客户端发送了有效的 asp.net 身份验证 cookie 和服务器日志表明 cookie 已到达并且有效。所有浏览器中都观察到了该问题。

数据流是：

1. 用户在属于 webfarm 的计算机上访问登录 url（均使用同一台计算机，解密密钥）
2. 成功进行表单身份验证后，用户将重定向到受限制的 url，他们的主页
3. 主页正确呈现，知道用户的身份，并包括 javascript 来执行 7 个异步回发以获取其他数据
4. Javascript 启动 7 个 http.get 请求，命中 webfarm 中的不同机器（假设循环）
5. 服务器验证请求：~0.01% 无法验证。

想法？

现在详细介绍：

极少数异步请求到达我的服务器（有证据表明它们没有被操纵或伪造）并且似乎是匿名的。在提出的 7 个请求中，某些请求可能有效也可能无效（即 5/7 将成功，2 个将失败）。成功/失败似乎没有任何模式。在我的请求似乎是匿名的情况下，CurrentPrincipal.Identity 记录：

Thread.CurrentPrincipal.Identity.IsAuthenticated; // false
Thread.CurrentPrincipal.Identity.Name; // null (or empty, unsure off hand)

将 http.context.request.params 集合转储到日志文件中，我可以看到以下相关（和已清理）属性（下面的完整参数） ）：

context: {"userId":10000,"userName":"johnsmith"}
HTTP_COOKIE:.ASPXAUTH=[valid auth cookie value]
HTTP_X_REQUESTED_WITH:XMLHttpRequest
X-Requested-With: XMLHttpRequest
    AUTH_TYPE: 
    AUTH_USER: 
    AUTH_PASSWORD: 
    LOGON_USER: 
    REMOTE_USER: 
    HTTP_COOKIE: .ASPXAUTH=[valid auth cookie value]

我知道身份验证 cookie 是有效的 - 在这些相同的请求期间，我能够解密身份验证 cookie 并提取以下内容：

CookiePath: /
Expiration: 9/23/2105 8:14:22 PM
Expired: False
IsPersistent: True
IssueDate: 8/30/2010 2:54:22 PM
Name: johnsmith
UserData: 
Version: 2

不确定此时如何继续。随着我们最近迁移到 mvc 2.0 / asp.net 4.0，这个问题似乎变得更加严重，但我对这就是原因的信心不高。

我已经联系了一些遇到此问题的客户，这更令人沮丧（但确实反映了我能够在日志中读到的内容）。一旦陷入这种状态，就很难摆脱。清除缓存和cookie似乎没有效果。但是，切换到新的浏览器通常就可以了。同样，等待几个小时并使用相同的浏览器返回通常也可以，但并非总是如此。如前所述，所有浏览器都会出现这种情况。

有什么建议吗？
凯文

------------
以下是我捕获的日志片段的其余部分（已删除 pii）：

8/30/2010 2:54:43 PM: Anonymous user detected:
    Identity Name:
    IsAuthenticated::False
HttpContextInformation to follow:

8/30/2010 2:54:43 PM: Request Param collection contents:
context: {"userId":10000,"userName":"johnsmith"}
    .ASPXAUTH: A3C6615642F1F543397160C84C0E016C8439BDF400B0130AADAB82C93E77FFF3BEAD7726223F02049FA65B2C3E1773928C0371C4F580F2432C1538551BC5654020AD76F37159BA6BB68D7A68744AE036
    ASP.NET_SessionId: m5vit3cyv0rsiosqg5xmhhuu
    ALL_HTTP: HTTP_CONNECTION:close
HTTP_ACCEPT:text/javascript, text/html, application/xml, text/xml, */*
HTTP_ACCEPT_ENCODING:gzip, deflate
HTTP_ACCEPT_LANGUAGE:en-us
HTTP_COOKIE:.ASPXAUTH=A3C6615642F1F543397160C84C0E016C8439BDF400B0130AADAB82C93E77FFF3BEAD7726223F02049FA65B2C3E1773928C0371C4F580F2432C1538551BC5654020AD76F37159BA6BB68D7A68744AE036
HTTP_HOST:www.host.com
HTTP_REFERER:http://www.host.com/
HTTP_USER_AGENT:Mozilla/5.0 (iPhone; U; CPU iPhone OS 4_0 like Mac OS X; en-us) AppleWebKit/532.9 (KHTML, like Gecko) Version/4.0.5 Mobile/8A293 Safari/6531.22.7
HTTP_X_FORWARDED_FOR:166.137.139.139
HTTP_X_REQUESTED_WITH:XMLHttpRequest

    ALL_RAW: Connection: close
Accept: text/javascript, text/html, application/xml, text/xml, */*
Accept-Encoding: gzip, deflate
Accept-Language: en-us
Cookie: .ASPXAUTH=A3C6615642F1F543397160C84C0E016C8439BDF400B0130AADAB82C93E77FFF3BEAD7726223F02049FA65B2C3E1773928C0371C4F580F2432C1538551BC5654020AD76F37159BA6BB68D7A68744AE036
Host: www.host.com
Referer: http://www.host.com/
User-Agent: Mozilla/5.0 (iPhone; U; CPU iPhone OS 4_0 like Mac OS X; en-us) AppleWebKit/532.9 (KHTML, like Gecko) Version/4.0.5 Mobile/8A293 Safari/6531.22.7
X-Forwarded-For: 166.137.139.139
X-Requested-With: XMLHttpRequest

    APPL_MD_PATH: /LM/W3SVC/792523/Root
    APPL_PHYSICAL_PATH: d:\localpath\
    AUTH_TYPE: 
    AUTH_USER: 
    AUTH_PASSWORD: 
    LOGON_USER: 
    REMOTE_USER: 
    CERT_COOKIE: 
    CERT_FLAGS: 
    CERT_ISSUER: 
    CERT_KEYSIZE: 
    CERT_SECRETKEYSIZE: 
    CERT_SERIALNUMBER: 
    CERT_SERVER_ISSUER: 
    CERT_SERVER_SUBJECT: 
    CERT_SUBJECT: 
    CONTENT_LENGTH: 0
    CONTENT_TYPE: 
    GATEWAY_INTERFACE: CGI/1.1
    HTTPS: off
    HTTPS_KEYSIZE: 
    HTTPS_SECRETKEYSIZE: 
    HTTPS_SERVER_ISSUER: 
    HTTPS_SERVER_SUBJECT: 
    INSTANCE_ID: 792523
    INSTANCE_META_PATH: /LM/W3SVC/792523
    LOCAL_ADDR: 10.248.50.207
    PATH_INFO: /resource
    PATH_TRANSLATED: d:\localpath\resource
    QUERY_STRING: context={%22userId%22:10000,%22userName%22:%22johnsmith%22}
    REMOTE_ADDR: 10.208.205.171
    REMOTE_HOST: 10.208.205.171
    REMOTE_PORT: 37966
    REQUEST_METHOD: GET
    SCRIPT_NAME: /resouce
    SERVER_NAME: www.host.com
    SERVER_PORT: 80
    SERVER_PORT_SECURE: 0
    SERVER_PROTOCOL: HTTP/1.0
    SERVER_SOFTWARE: Microsoft-IIS/6.0
    URL: /resource
    HTTP_CONNECTION: close
    HTTP_ACCEPT: text/javascript, text/html, application/xml, text/xml, */*
    HTTP_ACCEPT_ENCODING: gzip, deflate
    HTTP_ACCEPT_LANGUAGE: en-us
    HTTP_COOKIE: .ASPXAUTH=A3C6615642F1F543397160C84C0E016C8439BDF400B0130AADAB82C93E77FFF3BEAD7726223F02049FA65B2C3E1773928C0371C4F580F2432C1538551BC5654020AD76F37159BA6BB68D7A68744AE036
    HTTP_HOST: www.host.com
    HTTP_REFERER: http://www.host.com/
    HTTP_USER_AGENT: Mozilla/5.0 (iPhone; U; CPU iPhone OS 4_0 like Mac OS X; en-us) AppleWebKit/532.9 (KHTML, like Gecko) Version/4.0.5 Mobile/8A293 Safari/6531.22.7
    HTTP_X_FORWARDED_FOR: 166.137.139.139
    HTTP_X_REQUESTED_WITH: XMLHttpRequest


8/30/2010 2:54:43 PM: Auth Ticket collection contents:
    CookiePath: /
    Expiration: 9/23/2105 8:14:22 PM
    Expired: False
    IsPersistent: True
    IssueDate: 8/30/2010 2:54:22 PM
    Name: johnsmith
    UserData: 
    Version: 2

Answer 1

这个答案有效，但同时令人失望和震惊。

我花了 2 个月的时间在 MSDN 技术支持部门兼职，我们终于找到了解决这个问题的方法。我将把这个问题留给 Microsoft 来解决，因为这几乎肯定是 .net 框架中的问题。但首先，让我总结一下问题，提供额外的相关背景信息以及我们在此过程中发现的一些有趣的事情。

症状转瞬即逝：我们的网站有一些用户报告，他们将通过我们的网站进行身份验证并看到正确的状态。但看似随机，他们会退出我们的网站，或者偶尔体验匿名视图。这是非常令人沮丧的，几乎不可能在本地、在室内复制。

另外，关于症状：通过日志记录，我们发现移动（iPhone、iPad 和 Android）浏览器受到了不成比例的影响，尽管所有浏览器和操作系统都受到了一定程度的影响。最后一个随机症状：某天它对用户有效，第二天就不行了，下午晚些时候，它又可以工作了。当然，切换浏览器几乎总能解决问题。

我们很快就假设存在身份验证问题，可能与身份验证 cookie 相关。奇怪的是，我能够证明（跟踪）出错的请求包含我能够解密的正确 cookie，但 .net 框架以非确定性方式忽略了这一点。我最终开始记录处于这种状态的所有请求 - .net 框架忽略了 auth cookie，但对我来说似乎有效，并发现大约 2% 的用户受到了影响。

我从使用 Thread.CurrentPrincipal.Identity 切换到 HttpContext.Current.User.Identity，但无济于事，并尝试了一些其他设置。奇怪的是，我能够做出的唯一能产生影响的改变是迁移到 .net 4 框架（从 3.5 开始）。这个问题变得更严重了。还尝试了各种负载均衡器配置，并且能够排除多个机器配置——发出 auth cookie 的同一台机器稍后会拒绝它。

重申一下症状：我们有某些用户（非确定性），他们有时无法以身份验证模式（也是非确定性）使用我们的网站。可爱的。

现在，雷德蒙德的产品团队已经介入，也陷入了困境。但他们确实提出了一个建议，最终解决了这个问题，如下：
尝试强制 Microsoft.net 框架使用 cookie 作为身份验证模式，而不是使用无 cookie 状态：

<authentication mode="Forms">
  <forms cookieless="UseCookies" />
</authentication>

打开开关，有问题的请求立即结束（一旦我使处于奇怪状态的会话过期）。

虽然我很高兴问题得到了解决——或者更确切地说是解决了，但令我担心的是各种浏览器的非确定性处理。为什么 .net 框架有一天会看到浏览器，并将其视为支持 cookie，然后在同一天晚些时候说它应该使用无 cookie 会话？

我最后关心的是有多少其他网站在不知情的情况下丢失了 2% 的经过身份验证的流量？考虑到该修复，感觉很像 .net 4 框架中的一个错误。

Answer 2

不要在 ASP.NET 身份验证中使用此方法：

Thread.CurrentPrincipal =principal;

而是坚持：

HttpContext.Current.User = principal;

有关信息，请参阅这篇文章链接文本，但更重要的是评论，包括第一个和最后一个 - 文章是 2004 年的旧文章，但论点今天仍然有效。

因此，应改为：

Thread.CurrentPrincipal.Identity.IsAuthenticated; // 错误的
Thread.CurrentPrincipal.Identity.Name； // null（或空，不确定）

您应该使用：

 HttpContext.Current.User.Identity...

在这种情况下，您还可以使用 AuthenticateRequest 而不是 PostAuthenticateRequest，因为没有线程问题需要解决。

Answer 3

我建议您首先检查传入的 Web 请求是否确实具有身份验证 cookie 并且它是否有效。表单身份验证模块接收传入的 Web 请求并查看它是否具有身份验证 cookie。如果是这样，那么它会尝试对其进行解码，然后使用其包含的值生成原理。由于您的原则是空的，这意味着请求中没有提供身份验证 cookie，或者解码错误，或者解码后发现已过期，或者解码后奇怪地有空字符串作为用户名。

我建议您创建自己的模块，在其他模块之前调用该模块，然后您自己检查 cookie 是否存在，然后如果存在则对其进行解码以查看其包含的内容。这将为您提供有关所发生情况的更多详细信息。您自己的模块可重用 FormsAuthentication 模块中的方法来执行这些操作。例如....

ForsmAuthentication.Decrypt(...)

Answer 4

这是我在大多数需要基本身份验证的 ASP.NET / Mvc 应用程序中使用的身份验证。我相信这会有所帮助，并允许您在 AuthenticationCookie 中存储附加数据。如果您在 .Net 进行身份验证之前使用此选项，.Net 将覆盖您当前主体和用户属性的设置，使用 PostAuthenticateRequest 将解决覆盖问题。如果您有任何疑问，请告诉我。

// Code that goes in the Global.asax.cs
// that runs after .Net has done it's authentication
protected void Application_PostAuthenticateRequest(object sender, EventArgs e)
{
    IPrincipal user = HttpContext.Current.User;

    if (user == null) { return; }

    FormsIdentity formsIdentity = user.Identity as FormsIdentity;

    if (formsIdentity == null || !formsIdentity.IsAuthenticated) { return; }

    Principal principal = new Principal(new Identity(formsIdentity.Ticket));
    HttpContext.Current.User = principal;
    Thread.CurrentPrincipal = principal;
}

// Base implementation of the System.Security.Principal.IPrincipal interface.
public class Principal : System.Security.Principal.IPrincipal
{
    #region Fields

    private IIdentity _identity = null;

    #endregion

    #region Constructors

    public Principal(IIdentity identity)
    {
        _identity = identity;
    }

    #endregion

    #region Properties

    public IIdentity Identity
    {
        get
        {
            return _identity;
        }
    }

    #endregion

    #region Methods

    public bool IsInRole(string role)
    {
        return (_identity != null && _identity.IsAuthenticated);
    }

    #endregion
}



// Base implementation of the System.Security.Principal.IIdentity interface. 
public class Identity : System.Security.Principal.IIdentity
{
    #region Fields

    private readonly int _userId;
    private readonly bool _isAuthenticated;
    private readonly string _userName;

    #endregion

    #region Constructors

    public Identity(FormsAuthenticationTicket formsAuthTicket)
    {
        if (formsAuthTicket == null)
        {
            throw new NullReferenceException("FormsAuthenticationTicket may not be null.");
        }

        if (string.IsNullOrEmpty(formsAuthTicket.UserData))
        {
            throw new NullReferenceException("FormsAuthenticationTicket.UserData may not be null or empty.");
        }

        string[] userData = formsAuthTicket.UserData.Split(new[] {"|"}, StringSplitOptions.RemoveEmptyEntries);

        if (userData.Length < 1)
        {
            throw new ArgumentOutOfRangeException("formsAuthTicket", userData, "UserData does not contain a UserId and or a SiteId");
        }

        _userId = Convert.ToInt32(userData[0]);
        _isAuthenticated = !formsAuthTicket.Expired;
        _userName = formsAuthTicket.Name;
    }

    #endregion

    #region Properties

    public int UserId
    {
        get
        {
            return _userId;
        }
    }
    public string AuthenticationType
    {
        get
        {
            return "Forms";
        }
    }
    public bool IsAuthenticated
    {
        get
        {
            return _isAuthenticated;
        }
    }
    public string Name
    {
        get
        {
            return _userName;
        }
    }

    #endregion
}

我希望这有助于解决您的问题。

Answer 5

重新赏金：

我在使用 asp.net 4.0 的 Azure 应用程序中看到了这一点，cookie 就在那里，您可以使用 FormsAuthentication.Decrypt 对其进行解密并读取所有内容（未过期、正确的值等）；就像OP所描述的那样。与OP场景不同，我已经在使用UseCookies，并且仍然得到相同的结果。赏金是针对 ASP.NET 中可能触发此问题和解决方案的特定原因。

我的案例是一个非常愚蠢的问题：

1. 通过 FormsAuthentication.SetAuthCookie 发出令牌和相应的重定向
2. 在 web.config 中配置 标记
3. 检查 User。页面 / 中的 Identity.IsAuthenticated 为 false
4. cookie 在那里，您甚至可以通过 FormsAuthentication.Decrypt 解密

它 问题：不要忘记设置 ，哈哈，完全失败......

我对OP的2美分：当尝试使用无cookie授权时，一些内部链接/重定向/js可能会造成严重破坏。此外，cookie 支持检测不是很精确。

Answer 6

根据我过去的经验，我认为这个问题实际上是由于ASP.NET无法识别IE10+引起的。由于不知道浏览器及其功能，它会退回到无 cookie 身份验证（一个糟糕的或至少过时的假设）。

浏览器定义文件的更新已在此处发布。 .NET 4.5 不存在此问题

https://support.microsoft.com/kb/2600088

http://support.microsoft.com/kb/2600100

http://support.microsoft.com/kb/2608565