使用表單身份驗證Cookie來緩存角色-（Windows身份驗證）

Question

我想知道使用WindowsAuthentication_OnAuthenticate事件創建FormsAutnetication票證來存儲用戶角色時是否涉及任何風險或陷阱。 我從幾個不同的查詢中搶到了這些角色（我無權更改數據庫模式...）。 我不想使用ASP.NET的角色管理器，我擔心的是，如果我不使用cookie（至少一個cookie每30分鍾到期一次），那么性能可能會成為問題，因為WindowsAuthentication_OnAuthenticateis將針對每個請求被調用而且我會不斷進行這些數據庫調用（更不用說必須解密Cooke並在Application_AuthenticateRequest事件上為我的上下文構建自定義主體）。

Answer 1

是的，沒有。 從安全的角度來看，這不是一個好主意，盡管很快就修補了它（雖然是POET漏洞），但它已經受到了損害（請參閱POET漏洞）。由您決定風險是否值得，這通常是不值得的。 。

為什么不考慮使用服務器端緩存來存儲此數據，而只有緩存為空，然后檢查角色？