保护默认MVC 5应用程序的Cookie

Question

我在VS2013中启动了一个新的MVC 5应用程序（在向导中使用Authentication = Individual User Accounts）。

我正在查看我的web.config文件，它说：

    <authentication mode="None" />

但是，我可以清楚地创建一个帐户并登录我的网站。 所以这有点神秘。 我已经读过如果我使用表单身份验证，那么我需要将我的cookie标记为仅用于我的站点才能保证我的站点是安全的（昨天SSL工作正常）。

如果我的验证模式设置为“无”，是否有类似的步骤？

在这种情况下，“无”真正意味着什么，因为我可以清楚地对我的网站进行身份验证？

我在Azure上托管，如果它有所作为，但我认为它没有。

Answer 1

MVC5不再使用表单身份验证。 它在asp.net身份框架上使用OWIN中间件来处理身份验证。 您将能够在位于App_Start文件夹上的Startup.Auth.cs文件中看到与身份验证相关的配置。

<authentication mode="None" />

当您使用MVC5个人用户帐户（而不是任何其他旧/表单身份验证）时，身份验证模式设置为“无”。 这意味着使用asp.net身份框架的MVC5上不再提供旧的web.config身份验证配置。

如果您使用MVC5 Windows身份验证，则身份验证模式将为Windows

<authentication mode="Windows" />

没有什么可担心我们托管的天蓝色托管和管理天蓝色的mvc5基于Cookie的身份验证应用程序的数量没有任何问题。

您还会注意到web.config上有另一个配置如下。

<modules>
  <remove name="FormsAuthentication" />
</modules>

这是为了在使用MVC5个人用户帐户身份验证时不再需要删除HTTP模块。