asp.net - usuario - membership c# ejemplo

Hacer que el inicio de sesión del usuario sea persistente con la suscripción a.NET

Question

Tengo un sitio web que está construido en ASP.NET 3.5 y SQL Server 2005, usando el proveedor de membresía de SQL, y presumiblemente forma la autenticación.

Dado que las necesidades de seguridad en mi sitio son muy bajas, me gustaría autenticarme una vez y luego mantener el inicio de sesión de forma indefinida (sin dar al usuario la opción).

Lo que sucede es que el usuario inicia sesión, permanece conectado durante la sesión y, luego, la próxima vez que llega, se desconecta.

¿Cómo puedo obtener el inicio de sesión persistido?

Aquí están los detalles técnicos, he experimentado con muchas variaciones de duraciones.

 Try
If Membership.ValidateUser(UserName.Text, Password.Text) Then
Security.UserManager.AuthenticateUser(UserName.Text)
If FormsAuthentication.GetRedirectUrl(UserName.Text, False) = "/default.aspx" Then
Try
''Custom Logic''
Catch Ex As Exception
''Custom Error handling''
End Try
Else
FormsAuthentication.RedirectFromLoginPage(UserName.Text, True)
End If
End If
Catch ex As Exception
RaiseEvent ExceptionThrown(New ApplicationException("An error occurred trying to log the user in after account creation.", ex))
End Try
Public Shared Sub AuthenticateUser(ByVal Username As String)
Dim Expiration As DateTime = DateTime.Now.AddMonths(3)
Dim authTicket As FormsAuthenticationTicket = New FormsAuthenticationTicket(Username, True, Expiration.Subtract(Expiration).TotalMinutes)
Dim EncryptedTicket As String = FormsAuthentication.Encrypt(authTicket)
Dim AuthCookie As New HttpCookie(FormsAuthentication.FormsCookieName, EncryptedTicket)
AuthCookie.Expires = Expiration
HttpContext.Current.Response.Cookies.Add(AuthCookie)
End Sub

Configuración web:

<membership defaultProvider="SqlProvider" userIsOnlineTimeWindow="15">
<providers>
<clear />
<add
name="SqlProvider"
type="System.Web.Security.SqlMembershipProvider"
connectionStringName="GlobalConnString"
applicationName="/"
enablePasswordRetrieval="false"
enablePasswordReset="true"
requiresQuestionAndAnswer="false"
requiresUniqueEmail="true"
passwordFormat="Hashed"
minRequiredPasswordLength="5"
minRequiredNonalphanumericCharacters="0"
/>
</providers>
</membership>
<authentication mode="Forms">
<forms timeout="1439200" name="SITENAME" loginUrl="/login.aspx" />
</authentication>

Editar: Aquí está la información de la cookie que se está almacenando por el cliente:

Name ASP.NET_SessionId
Value r4dz1555f1pdne45n1zrlkmg
Host SITEADDRESS.com
Path /
Secure No
Expires At End Of Session
Name .ASPXAUTH
Value 648767AC72A60DBA49650A361A2FA446BA992F792055EF5B488CADC95DF495315C1C577F1C8E67E67BD937A7AB6CC5DAED85D8D64E4ED7867FC0FC395F48FED7FB631033CE441DE85223E8B3EBAE616C
Host www.SITEADDRESS.com
Path /
Secure No
Expires Tue, 09 Jun 2009 17:51:31 GMT
Name ASP.NET_SessionId
Value gn5pcymhfsnua455yp45wpej
Host www.SITEADDRESS.com
Path /
Secure No
Expires At End Of Session
Name SITENAME
Value 9610E8515F3DBC088DAC286E1F44311A20CB2BBB57C97F906F49BC878A6C6AC0B9011777402AEA130DCDC521EF4FBB3393DB310083F72EB502AE971183306C24F07F696B3695C67DD73166F1653DF52B
Host www.SITEADDRESS.com
Path /
Secure No
Expires Tue, 20 Dec 2011 06:14:10 GMT

Answer 1

Al leer su código, es posible que haya establecido en cero el valor del tiempo de espera de FormsAuthenticationTicket. La línea en su código donde crea el ticket dice: -

Dim authTicket As FormsAuthenticationTicket = New FormsAuthenticationTicket(Username, True, Expiration.Subtract(Expiration).TotalMinutes)

El valor de Expiration.Subtract(Expiration).TotalMinutes siempre será "0".

Es posible que sea mejor usar el formato largo para crear el ticket de la siguiente manera, lo que resultaría en menos ambigüedad.

Public Shared Sub AuthenticateUser(ByVal Username As String)
Dim Expiration As DateTime = DateTime.Now.AddMonths(3)
Dim userData As String = String.Empty
Dim authTicket As FormsAuthenticationTicket = _
New FormsAuthenticationTicket( _
Username, _
DateTime.Now, _
Expiration, _
true, _
userData, _
FormsAuthentication.FormsCookiePath)
Dim EncryptedTicket As String = FormsAuthentication.Encrypt(authTicket)
Dim AuthCookie As New HttpCookie(FormsAuthentication.FormsCookieName, EncryptedTicket)
AuthCookie.Expires = Expiration
HttpContext.Current.Response.Cookies.Add(AuthCookie)
End Sub

También hay un buen artículo de Microsoft KB here en " Descripción del ticket de autenticación de formularios y la cookie "

.

Answer 2

Creo que estaría mejor usando el método FormsAuthentication.SetAuthCookie lugar de escribir un montón de código usted mismo.

Creo que la configuración de su proveedor de membresía en web.config puede estar en conflicto con la configuración que proporciona en el código, además de que no está proporcionando un nombre de cookie.

Intente lo siguiente:

if (Membership.ValidateUser(userName, password))
{
FormsAuthentication.SetAuthCookie(userName, true); //Creates a cookie named "XXXAuth" - see settings in web.config below
}

Junto con la siguiente configuración en web.config:

<authentication mode="Forms">
<forms cookieless="UseCookies" loginUrl="~/SignIn.aspx" name="XXXAuth" slidingExpiration="true" timeout="432000"/>
</authentication>
<membership defaultProvider="XXXMembershipProvider">
<providers>
<clear />
<add name="XXXMembershipProvider" type="System.Web.Security.SqlMembershipProvider" applicationName="XXX" connectionStringName="XXX" enablePasswordRetrieval="false" enablePasswordReset="true" requiresQuestionAndAnswer="false" requiresUniqueEmail="true" minRequiredPasswordLength="5" minRequiredNonalphanumericCharacters="0" passwordFormat="Hashed" maxInvalidPasswordAttempts="5" passwordAttemptWindow="10" passwordStrengthRegularExpression=""/>
</providers>
</membership>

Simplemente cambie el valor de "tiempo de espera" en el bloque de autenticación para que sea un valor más largo si realmente desea crear un período de inicio de sesión indefinido. Creo 432000 = 5 días.

Si desea que sus usuarios puedan cerrar sesión de manera explícita, simplemente llame al siguiente método en respuesta a un clic de botón (o lo que sea):

FormsAuthentication.SignOut();

Espero que esto ayude.

Answer 3

Finalmente me di cuenta de la última pieza del rompecabezas. Cuando el grupo de aplicaciones de mi servidor estaba siendo reciclado (configurado por el proveedor de alojamiento), la clave de cifrado de viewstate se estaba volviendo a generar automáticamente. Esto significó que, aunque las cookies eran válidas y no caducadas (visita previa a la devolución), cuando el usuario devolvió la información, la codificación había cambiado y la cookie ya no era válida.

La solución fue especificar manualmente una clave de validación estática. El siguiente enlace se puede usar para generar la etiqueta web.config necesaria para esto.

http://www.aspnetresources.com/tools/keycreator.aspx

ACTUALIZAR:

Aquí hay un sitio más configurable para generar clave de máquina

Árbol de origen - Atributo de generación

Me doy cuenta de que esto podría tener un impacto menor en la seguridad. Supongo que, en teoría, es más seguro tener una clave cambiante en caso de que su clave se vea forzada bruscamente y comprometa cualquier dato que pueda estar almacenando en el estado de vista, pero probablemente no debería estar almacenando datos confidenciales. información en el estado de visualización ya que no es inherentemente segura de todos modos.

Ejemplo:

<configuration>
<system.web>
<machineKey
validationKey="97CEB2D3DEBF853649EAB851F56F08BA328423F935C97244CF5300925B6FF7D2C43084C73CBAF19D5193755EF7F87A3FFC714675F9197C822BAEEC97E853B91E"
decryptionKey="A72F69A4650348E3AA249A8179516D67C8553B3D4BD165B9"
validation="SHA1" />
</system.web>
</configuration>