表单身份验证和身份验证 cookie 不持久

Question

意识到有很多与表单身份验证和 cookie 持久性相关的问题，但在花了一天的大部分时间进行研究后，我仍然遇到困难。

我的问题

我正在开发一个网络应用程序（VS2010，但网络应用程序是 f/w 3.5），它限制经过身份验证的用户对应用程序某些部分的访问（而其他部分是开放的）。我的问题是，关闭浏览器后，我的身份验证 cookie 似乎不会保留。

我的方法

我编写了一个简单的login.aspx页面，在web.config中配置如下：

<authentication mode="Forms">

...各个页面的行为是这样声明的：

<location path="ClientManageAccount.aspx">
     <system.web>
        <authorization>
           <deny users="?" />
        </authorization>
     </system.web>
</location>

...除了这些 cookie 恶作剧之外，它在各个方面都工作得很好...

一旦我验证了用户的登录名和密码，我就会手动创建身份验证 cookie。在login.aspx页面中针对数据库的密码（工作正常）。如果用户选择“保持登录状态”复选框，则使用此方法生成 cookie：

    private void GenerateAuthenticationCookie(int expiryInMinutes, Guid userGuid)
    {
        DateTime cookieExpiration = DateTime.Now.AddMinutes(expiryInMinutes); // change to months for production
        var authenticationTicket =
            new FormsAuthenticationTicket(
                2,
                userGuid.ToString(), 
                DateTime.Now,
                cookieExpiration,
                true, 
                string.Empty,
                FormsAuthentication.FormsCookiePath);

        // ticket must be encrypted
        string encryptedTicket = FormsAuthentication.Encrypt(authenticationTicket);

        // create cookie to contain encrypted auth ticket
        var authCookie = new HttpCookie(FormsAuthentication.FormsCookieName, encryptedTicket);
        authCookie.Expires = authenticationTicket.Expiration;
        authCookie.Path = FormsAuthentication.FormsCookiePath;

        // clear out existing cookie for good measure (probably overkill) then add
        HttpContext.Current.Response.Cookies.Remove(FormsAuthentication.FormsCookieName); 
        HttpContext.Current.Response.Cookies.Add(authCookie);
    }

这里的目标是我将用户 Guid 存储在身份验证 cookie 中，然后我将使用它来将用户对象恢复到会话中（此也在login.aspx页面中，我的想法是我想从我创建的auth cookie中提取用户guid，并使用它将相应的用户记录填充到会话中并重定向到请求的页面） ：

    protected void Page_Load(object sender, EventArgs e)
    {
        if (!IsPostBack)
        {
            TryAutoLogin();
        }            
    }

    private void TryAutoLogin()
    {
        HttpCookie cookie = HttpContext.Current.Request.Cookies.Get(FormsAuthentication.FormsCookieName);

        if (cookie != null)
        {
            FormsAuthenticationTicket ticket = FormsAuthentication.Decrypt(cookie.Value);

            if (ticket != null)
            {
                if (ticket.Name.Length > 0)
                {
                    try
                    {
                        Guid userGuid = new Guid(ticket.Name);
                        KUser user = UserFunctions.GetUserFromUserGuid(userGuid);

                        if (user != null) Session["User"] = user;

                        FormsAuthentication.RedirectFromLoginPage(userGuid.ToString(), true);
                    }
                    catch (Exception anyException)
                    {
                        // don't do anything for now - do something smart later :-)                        }
                }
            }
        }
    }

最后，这是我的login.aspx页面上的登录按钮的代码：

    protected void Submit_OnClick(object sender, EventArgs e)
    {
        long userId = 0;
        UserAuthenticationStatus status;

        status = (UserAuthenticationStatus)UserFunctions.UserAuthenticates(EmailAddress.Text, Password.Text, ref userId);

        switch (status)
        {
            case UserAuthenticationStatus.Authenticated:
                //email address and password match, account ok, so log this user in
                KUser user = UserFunctions.GetUser(userId);
                Session["User"] = user;

                if (ChkRememberMe.Checked)
                {
                    GenerateAuthenticationCookie(15, user.UserGuid); // 15 minutes

                    FormsAuthentication.RedirectFromLoginPage(user.UserGuid.ToString(), true);
                }
                else
                {
                    FormsAuthentication.RedirectFromLoginPage(user.UserGuid.ToString(), false);
                }
                break;
            case UserAuthenticationStatus.AuthButLocked:
                // email/pwd match but account is locked so do something
                ShowLockedAccountMessage();
                break;
            case UserAuthenticationStatus.EmailFoundIncorrectPassword:
            case UserAuthenticationStatus.EmailNotFound:
            case UserAuthenticationStatus.Unknown:
                // either the email wasn't found, or the password was incorrect or there was some other problem
                // present message stating this and offer chance to register
                ShowFailedLoginMessage();
                break;
            default:
                ShowUnavailableMessage();
                break;
        }
    }

如您所见，没有什么特别复杂的事情发生，但尽管在GenerateAuthenticationCookie(..)中创建的authCookie被正确创建（据我所知）它不会持续存在。

我注意到的一件事是，如果我将一些代码放入 global.asax.cs 中的 Application_AuthenticateRequest 方法中，例如：

    protected void Application_AuthenticateRequest(object sender, EventArgs e)
    {
        HttpCookie cookie = HttpContext.Current.Request.Cookies.Get(FormsAuthentication.FormsCookieName);

        if (cookie != null)
        {
            int x = 4;  // just a dummy line so that I can set a breakpoint
        }
    }

...该断点有时会在新的浏览器会话后被命中，尽管一旦我导航离开，它就会停止被命中启动页面（在本例中是一个虚拟的 start.aspx 页面，纯粹用于开发和测试）。

所以，对于这个长问题表示歉意，但我在这里真的很痛苦。

我已经检查/尝试过的事情

确保代码正在执行 - 是 浏览器设置 - 即退出时不删除 cookie - 确认不删除 尝试不同的超时 - 例如等于或不同的 web.config 超时，似乎并不重要...... ...当然还有至少二十或三十个不同的先前问题，但无济于事。

系统/开发环境

Windows 7 64位、VS2010（但proj是3.5）、SQL Server 2008 Express。

在我的开发服务器上，这个问题仍然存在，所以我不确定它是否一定是环境问题 - 该机器是运行 SQL 2008R2 的 WS2008R2 机器 - 并且同样的问题仍然存在。

有没有人在任何地方对我可以在这里尝试的事情有任何想法？我有预感，我可以通过拦截 global.asax.cs 中的初始 Application_AuthenticateRequest 命中并将某些内容填充到会话状态中以标记为“已验证”（以避免每次调用该方法时进行昂贵的身份验证尝试来实现此目的）每页多次

谢谢。

，

Answer 1

好吧，在花了这么多时间写这篇文章后，我有了一个清晰的时刻，并意识到 (a) 我不需要对 Page_Load() 进行任何检查，就像登录一样（如果它工作正常）。 aspx 页面根本不会被调用，并且 (b) 我应该能够从 Session_Start 获取 cookie - 这是我重新定位 TryAutoLogin 代码的地方。

这本身就是向前迈出的一步，但尽管从 cookie 中检索了用户 guid，我发现我仍然被退回到 login.aspx 页面。

正是在这一点上，我想起了这样一个事实：我有一个父母版页和两个子母版页 - 一个用于非身份验证页面（例如主页），另一个用于需要身份验证的页面。我隐约记得会话超时的问题，并在 OnInit 覆盖中放置了以下代码：

       if (Session["User"] == null)
       {
              FormsAuthentication.SignOut();
              FormsAuthentication.RedirectToLoginPage();
              Response.End();
       }

...这本身并没有那么糟糕（并避免了超时方面的讨厌错误），而且我发现在 start.aspx 页面上这个宝石：

Session.Clear();

...在 Page_Load 中！

所以，发生的事情是我无意中清除了我放置新恢复的用户记录的会话。这意味着授权母版页的 OnInit 覆盖然后检测到用户对象的不存在，并且 - ta dah！ - 注销用户，这反过来会删除授权 cookie...

所以，稍后进行一些接线和一些调查，我就可以把这个放在床上了。

感谢您的阅读（即使我自己弄清楚了）...:)