asp.net mvc登錄用戶使用formsauthentication cookieless

Question

我正在寫一個使用LINQ來管理我的用戶的自定義成員資格提供程序。我還創建了自己的表來管理用戶。如果我想認證是無Cookie的，我將如何使用FormsAuthentication對象登錄用戶？

Answer 1

你真的想避免Cookie的會話持久性，不惜一切代價。它意味着通過URL來實現持久性，這對於會話劫持非常脆弱。看看OWASP Top 10 for .NET developers part 3: Broken authentication and session management中的示例。

您是否真的確信您有客戶認證誰不支持cookies，並且您願意爲這些個人妥協？

Answer 2

在普通的asp.net中，IIS通過在URL中插入會話ID來管理它。

順便說一句，這不是最安全的方法，因爲會話可以被盜。

http://msdn.microsoft.com/en-us/library/aa479314.aspx