FormsAuthenticationTicket 超时后重新初始化 context.User

Question

在我们的应用程序中，我们实现了基于角色的表单身份验证。这是使用 RoleModule 来处理的，我们将 Role 数据保存在 cookie 中， 每次我们从 cookie 中读取数据并实例化 IPrincipal 对象。此代码在 Application_OnPostAcquireRequestState 方法中执行：

 HttpApplication application = source as HttpApplication;
 HttpContext context = application.Context;

if (context.User.Identity.IsAuthenticated &&
      (!Roles.CookieRequireSSL || context.Request.IsSecureConnection))
{
//Read the roles data from the Roles cookie..

context.User = new CustomPrincipal(context.User.Identity, cookieValue);
Thread.CurrentPrincipal = context.User;
}

这会初始化 context.User 对象。每次向服务器发出请求时，都会使用上述流程对用户进行身份验证。 在 Application_EndRequest 中，我们使用当前主体对象数据更新角色 cookie。

我们的 Global.asax 页面中有一个 FormsAuthentication_OnAuthenticate 方法，在这个方法中我们读取 cookie，更新 cookie，并更新 cookie 票如果过期了。另外，在此方法中，如果票证过期，我们尝试在会话对象中设置用户名值。

FormsAuthentication oldTicket = FormsAuthentication.Decrypt(context.Request.Cookies[FormsAuthentication.FormsCookieName].Value);
if(oldTicket != null)
{
    if(oldTicket.Expired)
    {
        try
        {
            HttpContext.Current.Session["UserName"] = userName;
        }
        catch
        {
            //Log error.
        }

    FormsAuthentication newTicket =  new FormsAuthenticationTicket(oldTicket.Version, oldTicket.Name, DateTime.Now,
            DateTime.Now.AddMinutes(30), oldTicket.IsPersistent, oldTicket.UserData);

    string encryptedTicket = FormsAuthentication.Encrypt(newTicket);
    HttpCookie httpCookie = new HttpCookie(FormsAuthentication.FormsCookieName, encryptedTicket);
    if (isPersistent)
    {
        httpCookie.Expires = DateTime.Now.AddMinutes(300);
    }
}

这是我们在 web.config 中的表单设置：

   <forms defaultUrl="Default.aspx" domain="" loginUrl="Login.aspx" name=".ASPXFORMSAUTH" timeout="20" slidingExpiration="true" />

会话超时为 20 分钟。

问题：如果用户空闲时间超过 30 分钟（这是 FormsAuth 票证续订时间），context.User.Identity.IsAuthenticated 值 角色模块为 false，context.User 设置为 NULL。现在，当用户请求页面时，他会被重定向到登录页面。然而， 饼干还在那里。如果用户再次尝试请求页面，则 context.User.IsAuthenticated 属性将设置为 true 并且用户将转到 相应的页面。另外，在 FormsAuthentication_OnAuthenticate 方法中，当我尝试设置会话值时，它会抛出错误，因为会话对象为 NULL。

我在这里想要实现的是，在持久cookie的情况下，在auth Ticket超时后，用户不应该被注销，即用户应该 被重新认证。

我怎样才能实现这个目标？ 如果我没记错的话，设置 context.User 应该可以解决目的，但是我该怎么做呢？

其他信息：

票证过期后，我尝试请求页面，事件查看器显示一条错误消息：

Event code: 4005 
Event message: Forms authentication failed for the request. Reason: The ticket supplied has expired. 
Event time: 08-02-2012 20:02:05 
Event time (UTC): 08-02-2012 14:32:05 
Event ID: 048e3238ade94fd6a7289bac36d130ef 
Event sequence: 76 
Event occurrence: 2 
Event detail code: 50202 

Process information: 
Process ID: 21692 
Process name: w3wp.exe 
Account name: IIS APPPOOL\ASP.NET v4.0 Classic 

我正在使用存储在 web.config 中的标准机器密钥设置，而不是自动生成的设置。另外，我检查了进程 ID，所有错误都相同。

Answer 1

我终于解决了这个问题。发生的情况是，当 FormsAuthentication 票证超时时，FormsAuthentication_OnAuthenticate 无法设置 context.User 对象，如 MSDN 文档 用于身份验证事件：

如果您在执行过程中没有为 User 属性指定值
FormsAuthentication_OnAuthenticate 事件，由
使用 cookie 或 URL 中的表单身份验证票证。

原因是我没有使用用户的用户名设置 ticket.Name 。它是一个空字符串。因此，Authenticate 事件可能无法获取用户的身份并创建 FormsIdentity 实例。作为解决方案，当我续订过期票据时，我还创建了一个 GenericIdentity 对象，然后使用它来设置 context.User。

IIdentity identity = new GenericIdentity(username, "Forms");
context.User = new CustomPrincipal(identity);