Asp.NET 和 Cookie

Question

在我的网站中，我没有使用 cookie。当用户登录时，我通过从数据库获取密码来验证用户凭据，如果用户凭据经过验证，我会将电子邮件 ID 和其他用户相关信息存储到会话中。我使用其他页面中的会话值来验证该页面的用户。

WebConfig：

<sessionState cookieless="true" />
    <authentication mode="Forms">
      <forms name=".YAFNET_Authentication" loginUrl="Home.aspx" 
protection="All" timeout="43200" cookieless="UseUri"/>
    </authentication>

如果我为 cookie 选择 UseUri，则 url 是

(S(2zlu5ry2ewsqfuzkfcmy1xl5))/Home.aspx

附加到我的 url 的内容，公开此值是否安全，我想使用无 cookie 会话，因为大多数浏览该网站的 iPhone 都禁用了 cookie。

我的网站有 SSL 证书。我担心在 url 中显示上述值是否会损害安全性？

Answer 1

默认情况下，会话 ID 值存储在 cookie 中。如果您提到无 cookie 模式，会话 ID 将附加到 URL 中。

来自 MSDN
http://msdn.microsoft.com/en-us/library/ms178581.aspx

会话标识符

会话由唯一标识符标识，该标识符可以被读取
使用 SessionID 属性。当会话状态启用时
ASP.NET 应用程序中，应用程序中对页面的每个请求都是
检查从浏览器发送的 SessionID 值。如果没有SessionID
提供值后，ASP.NET 启动一个新会话和 SessionID
该会话的值与响应一起发送到浏览器。

默认情况下，SessionID 值存储在 cookie 中。但是，您可以
还可以配置应用程序以将 SessionID 值存储在 URL 中
用于“无 cookie”会话。

只要继续发出请求，会话就被视为活动会话
具有相同的 SessionID 值。如果请求之间的时间
特定会话超出指定的超时值（以分钟为单位），
会话被视为已过期。提出的请求已过期
SessionID 值导致新会话。

安全说明 SessionID 值以明文形式发送，无论是作为
cookie 或作为 URL 的一部分。恶意用户可以访问
通过获取 SessionID 值并包括其他用户的会话
它在对服务器的请求中。如果您要存储敏感信息
在会话状态下，建议您使用 SSL 来加密任何内容
浏览器和服务器之间的通信包括
SessionID 值。