WCF/WIF STS 记住我功能

Question

我有一个 asp.net 网站。 asp.net 网站连接到 wcf 服务。 wcf 服务使用具有自定义用户名/密码身份验证的 sts（安全令牌服务）。

asp.net 页面有一个简单的用户名和密码登录表单。现在我想实现一个“记住我”的功能。

目前我有两种解决方案：

• 将输入的用户和密码保存在asp.net服务器上，并设置一个带有ID的cookie。

• 将 STS 令牌保存在 asp.net 服务器上并在需要时进行更新。

什么是更安全的解决方案？您还有其他想法吗？

谢谢

Answer 1

更安全的解决方案是将来自 WCF 服务的令牌保存在您的 ASP.NET 网站中，并在需要时进行更新。不利的一面是，如果令牌过期，您的用户将需要使用 WCF 服务重新进行身份验证。过期令牌比静态用户名和密码更安全，因为这使 WCF 服务对用户会话具有权威性。

如果您将令牌存储在数据库中，加密令牌可能是值得的。