在asp身份声明和会话数据之间进行选择

Question

我试图在我的MVC应用程序中存储用户特定数据作为身份声明或会话数据之间做出选择，以减少数据库往返请求的数量和频率。 但是，考虑到性能，安全性和其他最佳实践考虑因素，我不知道要走哪条路线。

我将对此提出任何建议表示感谢。

Answer 1

如何为应用程序存储用户数据在很大程度上取决于应用程序本身。 但作为指南，使用基于声明的身份验证并将声明存储在会话cookie中是一种非常常见的方法。 看看asp.net身份 - http://www.asp.net/identity/overview/getting-started/introduction-to-aspnet-identity

您应该能够优化存储在会话cookie中的数据。 例如： - 如果您的应用程序始终需要在每个页面上显示用户的名称，则可以在会话cookie中使用名称声明。 但是，如果您只需要在一个“用户配置文件”页面中显示其他用户信息（如地址，公司等），则可以使用存储在会话cookie中的“nameidentifier”声明在数据库中查询这些详细信息。 如果您查看ASPNET标识，您将看到您不需要直接使用会话cookie，因为cookie身份验证中间件确保声明可通过MVC控制器的User属性（或ClaimsPrinciple.Current）获得。 您应该通过User属性确定应该对所有请求可用的声明以及应通过某个userInformation数据库查询哪些用户属性。 当然，您应该将密钥（nameidentifier或email）存储到声明中的userInformation数据库中，以便您可以随时查询数据库。

Answer 2

IMO（以及我的观点）基于我对声明，Cookie和存储规则的了解：

性能方面我从来没有看到声明和会话存储之间的差异（除非cookie从很多声明中变得很大）它们似乎都与速度相同（尽管它们都必须查找数据）来自某个地方（CLaims = cookie，会话=服务器驱动器存储），以及最佳实践，这将与您需要存储多少数据的方式相关。

根据我的经验（如果我错了，请纠正我），但会话数据存储在服务器上的磁盘上，基本上只有你的服务器硬盘可用空间用于大小限制等，而cookie确实有硬编码数据大小限制以及您存储的声明越多，Cookie就越大，所以如果您说最大化该cookie，客户端可能会看到性能损失，因为它在每个请求中向网站发送整个cookie数据，其中Session服务器在本地查找数据，浏览器发送的数据较少。

所以我对最佳实践的看法是，如果您保存数据库查找的持久性数据占用的空间很小，那么它确实没有最佳实践，只需使用您喜欢的任何内容，但如果您存储了大量的内容 ，尤其是字符串，那么会话就会在我看来，这是最好的做法，因为它可以保存客户端/服务器之间的数据往返，并且没有您可能在某个时候遇到的大小限制，然后想知道为什么您的数据不存在（完成此操作）在过去我自己，因为如果cookie太大，客户端只是默默地拒绝它，并花了3天时间来弄清楚它是cookie的大小）