Phonegap (Android) 上的 ASP.NET 表单身份验证问题

Question

我有一个 ASP.NET MVC/Web API 后端，我在其中为我的 Phonegap 应用程序实现了表单身份验证。通过 jQuery Ajax 调用发送用户凭据来执行登录，如下所示：

$.ajax({
    type: "POST",
    url: "/api/authentication/login",
    data: JSON.stringify({ Username: username, Password: password }),
    contentType: "application/json; charset=utf-8",
    dataType: "TEXT",
    statusCode: {
        200: function (response, status, xhr) {
            // successfully authenticated
            Backbone.history.navigate("/", { trigger: true });
        }
    }
});

后端登录方法如下：

[ActionName("login")]
[AllowAnonymous]
public LoginResult Login(LoginCredentials credentials)
{
    // doing all kinds of things here

    // if valid credentials
    FormsAuthentication.SetAuthCookie(loginID, true);
    return loginResult;
}

我的 Web.config 中有这个：

<authentication mode="Forms">
  <forms
    name=".ASPXAUTH"
    loginUrl="/login"
    defaultUrl="/home"
    protection="All"
    slidingExpiration="true"
    timeout="525600"
    cookieless="UseCookies"
    enableCrossAppRedirects="false"
    requireSSL="true"
    >
  </forms>
</authentication>

现在 Android 的问题是 cookie 设置正确，登录后它确实可以在我的授权方法上运行，但有时（通常）当我关闭应用程序并再次打开它时，我不再登录. cookie 不存在了，我在请求中看不到它。这不应该发生，因为我已将超时设置为 525600。我注意到当我在登录后立即关闭应用程序时经常会出现此问题。另一方面，如果我在不关闭应用程序的情况下注销然后登录，则 cookie 会正确保存。

但是，如果我让 cookie 粘贴，那么大多数时候注销的行为也会很奇怪。这就是我执行注销请求的方式：

$.ajax({
    type: "POST",
    url: "/api/authentication/logout",
    data: "{}",
    contentType: "application/json; charset=utf-8",
    dataType: "text"
    success: function (response) {
        // successfully logged out
        Backbone.history.navigate("api/login", { trigger: true });
    }
});

后端：

[ActionName("logout")]
[AllowAnonymous]
public String Logout()
{
    FormsAuthentication.SignOut();

    HttpCookie cookie = new HttpCookie(FormsAuthentication.FormsCookieName, "");
    cookie.Expires = DateTime.Now.AddYears(-1);
    HttpContext.Current.Response.Cookies.Add(cookie);

    return "home";
}

现在类似于登录的问题，首先注销似乎是成功的，并且不再随任何请求发送 cookie。但是当我关闭应用程序并再次打开它时，cookie 又回来了，我又重新登录了。通过将过期时间设置为过去，我可以看到该 cookie 的值与我认为我刚刚删除的那个相同。

我尝试过各种技巧，比如：

• 登录/注销后额外重新加载 (location.reload())
• 多次执行注销/登录请求
• 登录/注销后对其他方法执行请求
• 登录/注销请求和重新加载之间的超时 1-10 秒
• 上述的各种变体

身份验证在 iOS 和 Windows Phone 上按预期工作。该问题仅在 Android 上出现（在 KitKat 和 Lollipop 上测试）。在 Android 模拟器上没有问题，但在真实设备和 Visual Studios Android 模拟器上，这种情况一直发生。

我不知道从这里往哪个方向走。 Android WebView 中是否有可能导致这种行为的东西？还有什么我可以测试的吗？请帮忙！

如果需要，我很乐意提供更多信息。

编辑： 受到 Fabian 评论的启发，我将注销方法更改为：

FormsAuthentication.SignOut();

HttpCookie cookie = HttpContext.Current.Response.Cookies[FormsAuthentication.FormsCookieName];
cookie.Expires = DateTime.Now.AddYears(-1);
HttpContext.Current.Response.Cookies.Clear();
HttpContext.Current.Response.Cookies.Add(cookie);

return "home";

我没有创建一个新的 cookie，而是在响应中使用了那个。它没有用。

我还尝试了从这里找到的东西：http://techblog.dorogin.com/2013/01/formsauthentication-gotcha-with-signout.html 那也没有区别，路径不是问题。仍在寻找解决方案。

另一个编辑： 仍然无法找到解决方案。我不得不做出一个可怕的解决方法。

• 登录：我在登录后进行了两次重新加载，然后请求 一个虚拟的方法。这似乎每次都有效。
• 注销：我使用放置在 localStorage 中的标志来确定用户是否已注销并在启动时执行注销。这总是能正确删除 cookie。

我对这些 hack 不满意，我仍然希望有更好的解决方案。

Answer 1

PhoneGap 从file:// 协议加载文件。不幸的是，不允许跨源请求，除非您打开来自所有主机* 的跨源请求，否则此问题将无法解决。

有多种方法可以解决这个问题，但它们真的很长。

从http://加载Html

从网络服务器而不是本地存储加载整个网站。这消除了跨源请求的所有问题。好处是您在更改 UI 时不需要发布新版本的应用程序。但是你必须实现非常强大的缓存，并且第一次打开应用程序需要更长的时间。

拦截http://并传递本地文件

如您所知，phonegap 仅使用 WebView，在所有平台上，您都可以简单地覆盖 Url 协议以从应用程序的本地存储中注入文件。这会更快，并且浏览器会认为它正在从同一资源加载 html。

设置 OAuth + 自定义标头进行身份验证

1. 重定向到您网站上托管的登录页面，例如http://domain.com/api/login
2. 登录成功后，使用PhoneGap localStorage（不是浏览器的localStorage）来存储授权。
3. 从应用导航到您的本地 html 页面，对于您发送到服务器的每个 json api 请求，将授权标头作为单独的标头发送到 ajax 请求中。
4. 设置授权模块，如果您的授权是通过 http 请求中的自定义标头发送的，您可以在其中手动授权 asp.net 请求

Answer 2

我相信我已经找到了解决方案。根据documentation，您的config.xml 文件中的Phonegap 版本是cli-5.1.1，其中包括Android Phonegap 版本4.0.2。

版本的问题在于，Android Phonegap 团队似乎最终修复了版本 5.2.0 上的 cookie 存储问题。可以在release notes中找到：

CB-10896我们从未在 WebView 上启用 cookie

因此，将您的 Phonegap 更新到最新版本应该可以解决问题。

Answer 3

根据MSDN：

FormsAuthentication.SignOut 方法删除 来自 cookie 的表单身份验证票信息。

这就是您注销用户所需的全部内容。您不需要过期或删除您的 cookie 本身。只需将您的 Logout() 更改为：

[ActionName("logout")]
[AllowAnonymous]
public String Logout()
{
    FormsAuthentication.SignOut();
    return "home";
}