FormsAuthentication.SignOut 不适用于自定义域 Cookie

Question

标题应该说明一切。

这是设置 cookie 的代码：

// snip - some other code to create custom ticket
var httpCookie = new HttpCookie(FormsAuthentication.FormsCookieName, encodedTicket);
httpCookie.Domain = "mysite.com";
httpContextBase.Response.Cookies.Add(httpCookie);

这是我退出网站的代码：

FormsAuthentication.SignOut();

环境：

• ASP.NET MVC 3 Web 应用程序

• IIS Express

• Visual Studio 2010

• 自定义域：“http://localhost.www.mysite.com”

因此，当我尝试注销时，cookie 仍然存在。如果我去掉 httpCookie.Domain 行（例如默认为 null），它就可以正常工作。

我注意到的其他奇怪的事情是，当我设置域时，Chrome 不会在开发人员工具的资源部分中显示我的 cookie，但是当我不设置域时，它会显示。

其次，当我实际使用自定义域创建 cookie 时，在下一个请求中，当我从请求中读取 cookie（以解密它）时，cookie 在那里，但域为空？

我还尝试创建另一个同名的 cookie 并将过期时间设置为昨天。没有骰子。

这是怎么回事？有人可以帮忙吗？

Answer 1

我相信如果您设置 domain 属性在 web.config 中的 forms 元素上，与自定义 cookie 中的元素相同，它应该可以工作。 （编辑：该方法不起作用，因为 FormsAuthentication 上的 SignOut 方法在 cookie 上设置了您不是的其他标志，例如 HttpOnly） code> 方法基本上只是将 cookie 的到期日期设置为 1999 年，并且需要域来设置正确的 cookie。

如果您无法对域进行硬编码，您可以推出自己的注销方法：

private static void SignOut()
{
    var myCookie = new HttpCookie(FormsAuthentication.FormsCookieName);
    myCookie.Domain = "mysite.com";
    myCookie.Expires = DateTime.Now.AddDays(-1d);
    HttpContext.Current.Response.Cookies.Add(myCookie);
}

身份验证 cookie 只是一个普通的 cookie；因此，您可以像删除任何其他 cookie 一样删除它： 使其过期并使其生效无效。

Answer 2

我有类似的问题。就我而言，我将一些 userData 存储在 AuthCookie 中，并经历了与上述相同的效果，并且在每次请求进行身份验证时，读取 cookie 并将 userData 放入静态变量中。事实证明，在我的例子中，数据被保留在应用程序中。为了解决这个问题，我必须首先清除静态变量，然后使 cookie 过期。我在 AccountController 的 LogOff 方法中使用了以下内容：

AuthCookie.Clear(); //STATIC CLASS holding my userdata implemented by me.
Response.Cookies[FormsAuthentication.FormsCookieName].Expires = DateTime.Now.AddYears(-1);
Response.Cookies[FormsAuthentication.FormsCookieName].Value = null;
return RedirectToAction("Index", "Home");

希望这会有所帮助。

更新

提交后，我凭直觉将中间两行替换为：

FormsAuthentication.SignOut();

...并且它在以前没有的地方工作得很好。

注意：

AuthCookie.Clear();

...不会触及 AuthCookie，它只是将我编写的静态类重置为默认值。

再次希望这会有所帮助。