Yalnızca ASP.NET

Question

SetAuthCookie() kullanarak userId depolamak güvenli midir? FormsAuthentication.SetAuthCookie() kullanarak çerezde yalnızca UserId (veritabanında birincil anahtar) saklamak için güvenli olup olmadığını merak ediyordum ve kalıcı çerez

Kullanıcıların kullanıcı adlarını kaydettikleri birçok örnek gördüm, ancak bu (userId) bir veya iki basamaklı sayı olabilir, bu da bunu daha kolay elde etmeyi sağlayabilir. Yani sorum benim yapmalı mıyım? Değilse, kullanıcı adını kaydettiğimde neden daha iyi olurdu?

Answer 1

Güvenli değil Bu değeri şifrelenmemiş olarak saklar ve daha sonra bu değeri çerezden okur ve sonraki isteklerde kullanıcının kimliğini doğrulamak için kullanır (kullanıcı adını kullanarak bu şekilde güvensiz olur).

Çerezdeki değeri değiştirmek önemsiz olduğundan ve kullanıcılar başka bir kullanıcının kimliğini alt edebileceği için güvenli değildir.

Kullanıcı Kimliği'ni FormsAuthenticationTicket.UserData ve encrypt the ticket'da saklıyorsanız, bu güvenlidir.

Answer 2

İnsanların (o sesler tarafından) sadece kullanıcı kimliği ile çok yapabileceğini sanmıyorum (ki yine kısa bir ad olabilir) veya bir veritabanında birincil anahtarla