ASP.NET安全问题－－Froms验证的具体介绍(中篇)

Forms验证中的Cookie问题

之前我们所见到的示例都是利用非持久性的身份验证cookie来维持请求之前的身份验证。这就意味着：如果用户关闭浏览器，cookie就期满失效，下次还需要在此登录。从安全的方面还说，这是个好事。

身份验证cookie中保存的身份验证票据是ASP.NET应用程序识别用户的工具。例如，如果一个用户拥有一个管理员的有效验证票据，那么我们的ASP.NET网站就会认为这个用户就是管理员。

尽管使用持久化的身份验证cookie风险很大，但是还是有很多的用处的。例如，如果我们只是仅仅为了区别不同的用户，而不是对受限资源的访问进行限制，那么我们就不要求用户在每次访问站点时都登录，这样我们就可以利用持久化的cookie，而且创建持久化的cookie也很简单，如我们之前用的RedirectFromLoginPage，只要把方法的第二个参数设置为true就行了。

除此之外，创建持久化的身份cookie，我们还可以使用SetAuthCookie,并且把第二个参数设置为true。如下：

FormsAuthentication.SetAuthCookie(txtUserName.Text, true);

持久化的cookie只有在调用了FormsAuthentication.SignOut();方法之后才会过期。并且持久化的cookie不会受到web.config中的<forms>节点中设置的超时的影响。如果我们希望持久化的cookie超时，我们就要调用FormsAuthentication类的GetAuthCookie方法，设置cookie的期满日期和时间，并且我们自己手动的把它写入HTTP响应。

如下面的代码，我们创建一个时间为一周的持久化的cookie(代码加了注释)：

protected void　 btnLogin_Click(object sender, EventArgs e)
　　　　　　　 {
　　　　　　　　　　　　　　　 //判断用户提供的验证信息是否正确
　　　　　　　　　　　　　　　 if (FormsAuthentication.Authenticate(txtUserName.Text, txtUserPasswork.Text))
　　　　　　　　　　　　　　　 {
　　　　　　　　　　　　　　　　　　　　　　　 //创建一个持久化的身份验证cookie
　　　　　　　　　　　　　　　　　　　　　　　 HttpCookie cookie = FormsAuthentication.GetAuthCookie(txtUserName.Text, true);

　　　　　　　　　　　　　　　　　　　　　　　 //设置cookie的有效时间
　　　　　　　　　　　　　　　　　　　　　　　 cookie.Expires = DateTime.Now.AddDays(7);

　　　　　　　　　　　　　　　　　　　　　　　 //手动添加到HTTP响应中