Forms Authentication Timeout vs Session Timeout

Question

W mojej strony asp.net używam uwierzytelniania formularzy asp.net z następującej konfiguracji

<authentication mode="Forms"> 
    <forms loginUrl="~/Pages/Common/Login.aspx" 
      defaultUrl="~/Pages/index.aspx" 
      protection="All" 
      timeout="30" 
      name="MyAuthCookie" 
      path="/" 
      requireSSL="false" 
      cookieless="UseDeviceProfile" 
      enableCrossAppRedirects="false" > 
    </forms> 
</authentication> 

Mam następujące pytania

1. Jaki powinien być wartość limitu czasu sesja, ponieważ używam wygaśnięcia po wygaśnięciu w formularzu uwierzytelniania, ponieważ sesja wygaśnie przed uwierzytelnianiem formularza. Jak mogę to chronić?

2. Po wylogowaniu się z formularza chciałbym przekierować stronę pod logout.aspx, ale automatycznie przekierowuję mnie na loginpage.aspx. Jak to jest możliwe?

Answer 1

1. Aby być na bezpiecznej stronie: Timeout (Session) < = Timeout (FormsAuthentication) * 2
2. Jeśli chcesz wyświetlić stronę inną niż określona w atrybucie loginUrl po limitu czasu uwierzytelniania trzeba obsłużyć to ręcznie, jak ASP.NET nie zapewnia sposobu na to.

Aby uzyskać # 2, możesz ręcznie sprawdzić plik cookie i jego Dziennik uwierzytelniania w celu wygaśnięcia i przekierowania do niestandardowej strony, jeśli wygasły.
Możesz zrobić to w jednym z wydarzeń: AcquireRequestState, AuthenticateRequest.

Przykładowy kod w przypadku może wyglądać następująco:

// Retrieve AuthenticationCookie 
var cookie = Request.Cookies[FormsAuthentication.FormsCookieName]; 
if (cookie == null) return; 
FormsAuthenticationTicket ticket = null; 
try { 
    ticket = FormsAuthentication.Decrypt(cookie.Value); 
} catch (Exception decryptError) { 
    // Handle properly 
} 
if (ticket == null) return; // Not authorised 
if (ticket.Expiration > DateTime.Now) { 
    Response.Redirect("SessionExpiredPage.aspx"); // Or do other stuff here 
} 

Answer 2

W przypadku witryn, które mają zależność sesji, można po prostu wylogować się z nieświeży uwierzytelniania z przypadku rozpoczęcia sesji w global.asax:

void Session_Start(object sender, EventArgs e) 
{ 
    if (HttpContext.Current.Request.IsAuthenticated) 
    { 

    //old authentication, kill it 
    FormsAuthentication.SignOut(); 
    //or use Response.Redirect to go to a different page 
    FormsAuthentication.RedirectToLoginPage("Session=Expired"); 
    HttpContext.Current.Response.End(); 
    } 

} 

Powoduje to, że nowa sesja = nowe uwierzytelnienie, kropka.