ASP.NET：身份验证超时后，为什么FormsAuthenticationTicket为null？

Question

我正在根据此处的上一个问题和答案实施身份验证超时检测机​​制。 我已经实现了一个HTTP模块，该模块使用AuthenticateRequest事件运行代码以捕获身份验证期是否已到期。 执行此操作的代码如下：

public class AuthenticationModule : IHttpModule
{
    #region IHttpModule Members
    void IHttpModule.Dispose() { }
    void IHttpModule.Init(HttpApplication application)
    {
        application.AuthenticateRequest += new EventHandler(this.context_AuthenticateRequest);
    }
    #endregion


    /// <summary>
    /// Inspect the auth request...
    /// </summary>
    /// <remarks>See "How To Implement IPrincipal" in MSDN</remarks>
    private void context_AuthenticateRequest(object sender, EventArgs e)
    {
        HttpApplication a = (HttpApplication)sender;
        HttpContext context = a.Context;

        // Extract the forms authentication cookie
        string cookieName = FormsAuthentication.FormsCookieName;
        HttpCookie authCookie = context.Request.Cookies[cookieName]; // no longer a forms cookie in this array once timeout has expired

        if (authCookie != null)
        {
            FormsAuthenticationTicket authTicket = FormsAuthentication.Decrypt(authCookie.Value);
            DateTime expirationTime = authTicket.Expiration;
            // check if previously authenticated session is now dead
            if (authTicket != null && authTicket.Expired)
            {
                // send them a Response indicating that they've expired.
            }
        }
    }
}

问题在于，一旦身份验证期到期（我将其设置为1分钟以进行测试），就不再有表单cookie（请参见代码中的注释）。 这意味着身份验证cookie将为null，并且我不会使其超出代码中的null检查。 但是FormsAuthenticationTicket有一个方便的“ Expired”属性，我觉得我应该检查一下期限是否过期。 但是，如果Cookie不再存在，我该怎么走呢？ 如果不再有表单cookie，那么假设认证期已到期是否合理？

任何帮助将不胜感激。

Answer 1

此行为由System.Web.Security.FormsAuthenticationModule控制。 此模块检查票证是否已过期，在这种情况下，请删除cookie。

还要注意，该模块检查slideExpiration选项，并在需要时续签票证。

回到您的问题：

如果不再有表单cookie，那么假设认证期已到期是否合理？

我认为的答复是肯定的。

Answer 2

您可能想要尝试这样的事情：

if (User != null)
        {
            FormsIdentity id = (FormsIdentity)User.Identity;
            FormsAuthenticationTicket ticket = id.Ticket;
            if (ticket.Expired)
            {
               //do something
            }
        }

更多信息

编辑：

1：我看到用户为空。 因此，使用User.Identity毫无疑问。

2：如何尝试在BeginRequest事件而不是AuthenticateRequest事件中遇到的原始代码。

Answer 3

如果在FormsAuthenticationTicket上将If isPersistent设置为false，则不会设置持久性cookie。 票证过期后，cookie不会随请求一起发送，因此您无法访问它。