使用 FormsAuthenticationTicket 存储额外的用户会话对象 - cookie 太大

Question

我正在尝试设置一个 .NET MVC 3 项目来存储自定义用户会话对象（以后可以在其他后续操作中从自定义主体对象访问该对象） 我已按照此处的步骤操作： ASP.NET MVC - Set custom IIdentity or IPrincipal （LukeP 说的 - 我也需要自定义会员等）

在我的登录操作中，我有这样的事情：

if (provider.ValidateUser(model.UserName, model.Password))
{
        // setup principal 
        JavaScriptSerializer serializer = new JavaScriptSerializer();
        string userData = serializer.Serialize(provider.GetSession());

        FormsAuthenticationTicket authTicket = new FormsAuthenticationTicket(
             1,
             model.UserName,
             DateTime.Now,
             DateTime.Now.AddMinutes(15),
             false,
            userData);

        string encTicket = FormsAuthentication.Encrypt(authTicket);
        HttpCookie faCookie = new HttpCookie(FormsAuthentication.FormsCookieName, encTicket);
        Response.Cookies.Add(faCookie);

        if (!String.IsNullOrEmpty(returnUrl))
        {
            return Redirect(returnUrl);
        }
        else
        {
            return RedirectToAction("Index", "Home");
        }
}
else
{
    ModelState.AddModelError("", "The user name or password provided is incorrect.");
}

这基本上会获取用户对象（provider.GetSession() 从外部身份验证服务返回自定义用户会话对象），然后将其存储在 FormsAuthenticationTicket 中

问题是来自外部服务的用户会话对象超过 4Kb（大约 7Kb 已加密），并且由于大小，cookie 没有存储在浏览器中。

有没有其他安全的方法可以将此用户会话对象存储在某个地方，这样我就不必继续查询数据库了？ 我听说将它存储在 Session 中是不安全的（因为会话劫持 - 并且它与成员资格分离。） - 那么我还有什么其他选择？

我无法减小自定义用户会话对象的大小 - 这不是一个选项，因为它的属性依赖于所有系统层调用。

问候， 马丁

Answer 1

我不明白您为什么不能将其存储在用户的会话对象中，因为您应该在他们每次执行特权操作时验证他们的表单身份验证。

如果您真的不想将其存储在他们的会话中，您可以创建一个静态字典并将数据存储在那里：

using System.Collections.Concurrent;

// Class level declaration.
static ConcurrentDictionary<string, object> UserData =
        new ConcurrentDictionary<string, object>();

// Inside your magic method.
if (provider.ValidateUser(...)) {
  object providerSession = provider.GetSession();
  string userId = Guid.NewGuid().ToString("n");

  UserData.TryAdd(userId, providerSession);

  FormsAuthenticatonTicket authTicket = new FormsAuthenticatonTicket(
    1,
    model.UserName,
    DateTime.Now,
    DateTime.Now.AddMinutes(15),
    false,
    userid);

  // ...
}

然后，您可以从那里根据表单身份验证票证中存储的userId 查找您的提供商会话数据。我将存储在字典中的对象设为标准 object，因为我不知道您的提供程序返回什么，所以如果它更具体，请务必改用该类。