是否可以在ASP.NET Core中續訂會話？

Question

為了防止會話固定攻擊，我想在用戶自己進行身份驗證后生成新的會話ID。 到目前為止，我還沒有找到任何方法使用Microsoft.AspNetCore.Session v2.2.0 。 據我所知，非核心版本也不支持這一點。

我錯過了一個API或方法嗎？

指向具有這些功能的其他中間件的指針也很受歡迎。

Answer 1

會話固定不適用於ASP.NET Core處理會話的方式。 發送的cookie不包含會話ID：僅包含會話密鑰。 密鑰是持久的，旨在始終有效。 服務器獨立決定是否恢復現有會話或創建新會話（即會話ID）。

Answer 2

據我所知，ASP.NET Core的會話實現不滿足OWASP在其備忘單中描述的要求。

這是ASP.NET Core的會話中間件的WIP實現，它試圖滿足這些要求。 完全免責聲明：我是作者。