使用Silverlight隔離存儲保留身份驗證令牌？

Question

我想聽聽有關在Silverlight中使用隔離存儲來存儲敏感數據的一些意見。 例如，可以在該存儲中存儲身份驗證令牌（某些用於標識服務器端會話的GUID），還是使用cookie更好？

隔離存儲提供了優於cookie的優勢，因為它可以在瀏覽器之間共享，但是它可能更難以處理到期時間，並且可能還有其他一些我不知道的問題（安全性）。

那么...您對此有何看法？ 還是您知道有關該主題的出色文章？

謝謝，雅各布

Answer 1

我剛剛開始一個Silverlight項目，該項目使用隔離存儲來存儲登錄令牌，該登錄令牌以前是在用ASP.NET編寫應用程序時存儲在cookie中的。

我注意到的最后一件事是，每種瀏覽器都會記住同一位用戶（與cookie解決方案相反，在cookie解決方案中，每個瀏覽器都有自己的cookie存儲，並且是誰登錄的想法）。

安全性不會有很大的不同-如果您願意的話-對令牌進行加密。 雖然真的為什么您要打擾？ 如果有任何進程可以訪問一個人的私有AppData，則他們將可以訪問各種機密信息。

該應用程序的網址決定了訪問權限，因此除非您的域名過期，否則沒有人可以獲取該數據。

Answer 2

除了可以跨多個瀏覽器實例共享令牌的優勢（我個人從未見過這種優勢）之外，我認為我現在仍會堅持使用cookie。 為什么？ 因為它們可以得到代理服務器和HTTP加速器等中介的更好支持。 通常，我采用“使用標准”而不是“自己動手”的方法-這樣可以減少維護代碼的數量，並為新開發人員提供更熟悉的代碼。