jak zmienić identyfikator sesji po zalogowaniu w asp.net

Question

Mam stronę internetową, która używa uwierzytelniania formularzy i członkostwa. Użytkownik musi mieć włączoną obsługę plików cookie w celu korzystania z witryny. Poproszono mnie o zmianę kodu, tak aby identyfikator sesji został zmieniony, gdy tylko użytkownik się zaloguje. Prawdopodobnie będzie to chronić przed atakiem z Session Fixation (http://en.wikipedia.org/wiki/Session_fixation). Czy ktoś wie, w jaki sposób mogę zmienić identyfikator sesji bez utraty całej sesji? PHP ma określoną metodę, ale nie mogę znaleźć odpowiednika .NET.

Answer 1

Here's a blog post, który mówi o tym:

ASP.NET nie obsługuje bezpośrednio funkcjonalność zregenerować sesji ID. Zobacz dokumentację dotyczącą problemu here. Istnieje not-so quick and dirty way do wykonania przez ustawienie wartości ASPNET_SessionID na pusty łańcuch i przekierowanie tak, aby wartość była odnawiana.

Answer 2

Odpowiedziałem na podobne pytanie pod adresem Generating a new ASP.NET session in the current HTTPContext. Zasadniczo musimy zmienić niektóre z wewnętrznych stanów SessionStateModule, aby móc ponownie wygenerować identyfikator sesji bez utraty obiektów w sesji. Użyłem odbicia, aby ustawić wartość pola _rqId na nowy ID i _rqSessionStateNotFound na wartość true. Wadą jest to, że musimy udzielić "Pełnego Zaufania" do Aplikacji.

Answer 3

Jest to bardzo stare pytanie mam wskrzeszenia, ale tutaj jest rozwiązanie:

var manager = new SessionIDManager(); 
bool redirected, isAdded; 
manager.SaveSessionID(System.Web.HttpContext.Current, 
    "5vonjb4mtb1of2fxvhjvkh5d", out redirected, out isAdded); 

// sessionId now equals "5vonjb4mtb1of2fxvhjvkh5d" 
var sessionId = Session.SessionID;