ASP.NET：如何检测身份验证超时

Question

我见过像多篇文章， 这一个解释如何来检测用户的会话超时。 为了清楚起见，这些文章引用了此web.config行定义的超时值：

<sessionState mode="InProc" cookieless="UseDeviceProfile" timeout="120" />

不必过多介绍该方法，但这涉及检查Session.IsNewSession是否为真以及会话cookie是否已存在。 但是我还没有看过任何有关如何检测身份验证超时的文章-此web.config行定义的文章：

<authentication mode="Forms">
    <forms loginUrl="~/Home/Customer" timeout="60" name=".ASPXAUTH" requireSSL="false" slidingExpiration="true" defaultUrl="~/Home/Index" cookieless="UseDeviceProfile" enableCrossAppRedirects="false"/>
</authentication>

在线的多篇文章（包括本SO帖子 ）都说您的会话超时值通常应该是身份验证超时值的两倍。 因此，现在，如上所述，我的会话为120，身份验证为60。这意味着我永远不会遇到会话已超时但用户仍通过身份验证的情况。 如果用户超时，则是由于身份验证，而不是会话。

因此，与其他所有人一样，我对如何向用户报告其会话已超时（但实际上是由于身份验证超时）感兴趣。 有谁知道实现此目标的方法，或者任何在线资源可以为我提供解决方案？

Answer 1

这可能不是最佳方法，但这是我想到的。

登录时，在用户登录时在会话标记中记录时间戳。在每个后续请求（可能在global.asax BeginRequest？中）上，将此时间戳与当前时间进行比较，并将其与身份验证超时进行匹配（Scott Hanselman） 在此处说明如何阅读 ）。

无论如何，这就是我的“脑袋顶”。

Answer 2

我会在请求的早期利用http管道并发送适当的响应。
我回答此类问题的来源是：

专业的ASP.NET 2.0安全性，成员资格和角色管理

HTTP模块可以解决这个问题：

Web.config：

<configuration>
  <system.web>
    <httpModules>
      <add name="MyAuthModule" type="MyAssembly.Security.MyAuthModule, MyAssembly"/>

...

实际的HTTP模块：

/// <summary>
/// A module for detecting invalid authentication 
/// </summary>
/// <remarks>See "How To Implement IPrincipal" in MSDN</remarks>
public class MyAuthModule : IHttpModule
{
    #region IHttpModule Members
    void IHttpModule.Dispose() { }
    void IHttpModule.Init(HttpApplication context)
    {
        context.AuthenticateRequest += new EventHandler(context_AuthenticateRequest);
    }
    #endregion


    /// <summary>
    /// Inspect the auth request...
    /// </summary>
    /// <remarks>See "How To Implement IPrincipal" in MSDN</remarks>
    private void context_AuthenticateRequest(object sender, EventArgs e)
    {
        HttpApplication a = (HttpApplication)sender;
        HttpContext context = a.Context;

        // Extract the forms authentication cookie
        string cookieName = FormsAuthentication.FormsCookieName;
        HttpCookie authCookie = context.Request.Cookies[cookieName];

        if (authCookie != null)
        {
            FormsAuthenticationTicket authTicket = FormsAuthentication.Decrypt(authCookie.Value);
            // check if previously authenticated session is now dead
            if (authTicket != null && authTicket.expired)
            {
               // send them a Response indicating that they've expired.
            }
        }
    }
}

祝好运！

Answer 3

登录用户时，您可以在用户的​​计算机上放置一个cookie，表明他们进行了会话。 当用户到达登录页面时（因为会话已过期，因此登录名也必须具有），请检查用户是否具有该cookie以及他们是否具有您期望他们拥有的任何会话密钥（如果事实证明如此，只需在他们登录时设置会话变量即可）。 如果它们具有cookie，但没有会话密钥，则它们的会话已过期。