谁设置了 HttpContext.User.Identity 的 IsAuthenticated 属性

Question

此代码来自asp.net mvc RTM源码

谁设置了 HttpContext.User.Identity 的 IsAuthenticated 属性？

   protected virtual bool AuthorizeCore(HttpContextBase httpContext) {
        if (httpContext == null) {
            throw new ArgumentNullException("httpContext");
        }

        IPrincipal user = httpContext.User;
        if (!user.Identity.IsAuthenticated) {
            return false;
        }
    }

IsAuthenticated属性是调用方法设置的吗（asp.net mvc 4.0示例项目）：

FormsAuthentication.SetAuthCookie(model.UserName, model.RememberMe);

当我在上述FormsAuth...方法调用后调试asp.net mvc 4.0示例项目的LogOn方法的代码时。执行

User.Identity.IsAuthenticated

仍然返回 FALSE。只有当我调试 LogOff 方法时，

User.Identity.IsAuthenticated

说是真的。那么谁将这个属性设置为 TRUE 和 WHEN 呢？

更新：

这是关于FORMS身份验证！

我现在确实调试了 asp.net mvc 示例项目的 LogOn 方法，在返回 LogOn 操作后，我已覆盖的 AuthorizeCore 方法被调用，然后 IsAuthenticated 属性为 TRUE！

TRUE 的设置是否取决于 ModelState.Value.Error 集合？

如果错误集合中的 count == 0，则 IsAuthenticated 为 TRUE 否则 IsAuthenticated 为 FALSE

你能确认一下吗？

Answer 1

此属性由表单身份验证模块通过从请求读取和解析表单身份验证cookie来设置。我用粗体表示了请求，因为我怀疑这就是你观察这种行为的原因。让我解释。当您在身份验证成功后调用FormsAuthentication.SetAuthCookie 时，您将身份验证cookie 添加到响应。此 cookie 将存储在客户端浏览器中，并将在后续请求中发送。因此，只有在后续请求中，用户才会被视为已通过身份验证。因此，您需要在调用 SetAuthCookie 方法后始终进行重定向。在调用此方法的请求中，您已经知道用户是否提供了正确的凭据，因此您无需检查 IsAuthenticated 属性。

Answer 2

属性的来源取决于Identity 的类型。对于FormsIdentity，该属性只返回true：

/// <devdoc>
///    Indicates whether or not authentication took
///    place.
/// </devdoc> 
public  bool                         IsAuthenticated { get { return true;}}

这是有道理的，因为FormsAuthenticationModule.cs 中的代码仅在身份验证后分配FormsIdentity。代码看起来很复杂，我看到它从 cookie 中提取票证，但我找不到它在哪里验证票证。