授权和 ASP.NET MVC 缓存

Question

我对 ASP.NET MVC 缓存和授权感到困惑，急需澄清一下。

我的自制授权属性继承自AuthorizeAttribute。它被覆盖的AuthorizeCore 方法每次都会运行，即使我在控制器操作上设置了[OutputCache] 属性。我明白那部分。

现在让我费解了：AuthorizeCore 将失败 每次我实际执行输出缓存并且页面是从缓存中提供的。原因是当请求被缓存时，AuthorizeCore 提供的httpContext.Session 是null！？下面是一些简化的代码：

protected override bool AuthorizeCore(HttpContextBase httpContext) {
    return (Session["userId"] != null)
}

所以如果httpContext.Session 是null，这显然每次都会失败。我需要访问会话，我还能如何检查请求是否被授权？这没有任何意义 - 如果它应该是这样，那么我将 永远 能够在 ASP.NET MVC 中将缓存页面与身份验证一起使用。帮忙？

Answer 1

有两个独立的问题：

1. 身份验证是否适用于 MVC 中的缓存？
2. Session 在身份验证之前是否在缓存面前工作（即使对于未经身份验证的用户，他们仍然希望拥有唯一的会话）？

答案分别是肯定的和否定的。身份验证适用于缓存。尝试使用 SQL 或域成员提供程序；你会看到的。

但是，缓存可以在身份验证模块之前运行。 （对于奖励积分：为什么？）仅当它专门挂钩缓存时才调用身份验证（如 AuthorizeAttribute 所做的那样）。由于会话是特定于用户的，因此不保证您将在 AuthorizeCore 中拥有一个会话。

更多奖励积分：如果您在缓存配置中指定了 varyByUser，这会如何改变？

不幸的是，进行身份验证很难，因为任何类型的安全权限都很难。 Microsoft 试图通过成员资格提供程序 API 使这更容易。 I strongly recommend using that 实现自定义身份验证时。我还建议使用内置提供程序并对其进行扩展，而不是尽可能重写它们。

另外一点：ASP.NET 会话提供程序和 ASP.NET 成员资格提供程序完全分开。不同的会员用户可以共享（！）一个会话，yes，您可以通过这种方式attack 一个站点。将与安全相关的信息放在会话中是从不安全的。安全很难。