使通过 FormAuthentication 设置的 cookie 过期

Question

我在登录时使用了 MemberShipUser API，

FormAuthentication.SetAuth(username, false);

如果用户不注销并直接关闭浏览器，我们正在验证用户并创建 FormAuthentication，则不会调用 FormAuthentication.SignOut 方法。

因此，当我们重新打开网站时，用户已经登录。

Answer 1

将超时值配置为适当的数字或使用 cookie less 表单身份验证。

<system.web>
  <authentication mode="Forms">
    <forms loginUrl="Login.aspx"
           protection="All"
           timeout="30" <----------------------------Tune this
           name=".ASPXAUTH" 
           path="/"
           requireSSL="false"
           slidingExpiration="true" <--------------------- Tune this
           defaultUrl="default.aspx"
           cookieless="UseDeviceProfile" <--------------------- Or Turn off cookies
           enableCrossAppRedirects="false" />
  </authentication>
</system.web>

http://msdn.microsoft.com/en-us/library/ff647070.aspx #pageexplained0002_cookielessforms

Answer 2

身份验证 cookie 仍然有效。当用户再次打开网站时，cookie 会显示用户仍处于登录状态。

您可以使 cookie 的生命周期较短，这样它更有可能过期：

<authentication mode="Forms">
   <forms loginUrl="Login/" timeout="5"/>
</authentication>

但是据我所知，如果用户不注销，他们不会立即注销退出。

^^除非你不像hasan-khan所说的那样使用cookie（它在查询字符串中传递一个id，这看起来不太好。）