在ASP.Net Identity中聲明Cookie安全性

Question

我通過網絡閱讀理解它的方式是聲明存儲為cookie，現在我將用戶的角色添加到聲明集合中，因此它將保存到聲明Cookie中。 現在這很好，因為每次我在我的ASP MVC控制器中檢查授權屬性時，它會省去數據庫的輪次跳轉以檢索用戶角色。

• 這樣安全嗎？
• 如果被盜，可以解密cookie嗎？
• 有沒有替代方法不在Cookie中保存聲明並將其保存在服務器上，這是有效的，還是我擔心多少？

Answer 1

Cookie幾乎是維護網站身份驗證會話的標准方法。 除非您使用cookiless機制，它將會話作為查詢字符串傳輸並且顯示不太安全。 無論您是否將聲明存儲在cookie中，您仍然依賴cookie安全機制來維護頁面命中之間的客戶端身份。 該機制已存在多年，只要您遵循Microsoft的實施指南，它就被認為是安全的。

假設您使用帶有WIF庫的.NET 4.5或.NET 4.0，您可以在服務器上緩存聲明，而不是在cookie中發送聲明。 這是一些基本文檔 。 通常建議如果你有很多聲明並且cookie太大而無法進行每次點擊。

Answer 2

正如Oleg所寫，標准cookie加密被認為是安全的。

這里的討論< 服務器端聲稱使用Owin身份驗證進行緩存 >也可能很有趣。