Question

由于我们的网站无法直接使用信用卡，因此我们会将凭据和其他misc变量的用户路由到另一个网站上的“托管页面”。

为了更详细，这是用户通常会如何访问它：

访问我们的网站并使用之前创建的用户名和密码登录。这使用asp.net会员提供商。
登录后，我们会向他们展示自己的帐户，并有一个付款按钮。一旦他们点击这个......
系统会提示他们使用“预付款”页面来验证金额和其他各种信息。他们点击此处继续...
因此，付款页面会显示在我们网站的iframe中。我们使用以下代码将它们重定向到外部托管网页：

＆LT; div align =“center”＆gt; ＆LT; iframe width =“100％”height =“600px”src =“@ Html.Raw（@ ViewBag.GateWayWebsite）”＆gt; ＆LT; / DIV＆GT;
输入付款页面并且客户点击提交后，该网站会将帖子提交回我们开始的网站并传回有关费用的信息。我抓住这些信息并将其保存到我们的数据库并显示收据。

除＃5外，一切正常。这大部分时间都有效，但大约有十分之一的人回来了这条消息：

Event code: 4006 
Event message: Membership credential verification failed. 
Event time: 12/16/2013 4:32:22 AM 
Event time (UTC): 12/16/2013 12:32:22 PM 
Event ID: 42c509f2a25d46f0af17e72a52dfbbe5 
Event sequence: 38 
Event occurrence: 1 
Event detail code: 0 

Application information: 
    Application domain: /LM/W3SVC/3/ROOT/SuburbanCustPortal-1-130316693110399868 
    Trust level: Full 
    Application Virtual Path: /SuburbanCustPortal 
    Application Path: C:\inetpub\wp\SuburbanCustPortal\ 
    Machine name: WIN-OB929P97YAR 

Process information: 
    Process ID: 3620 
    Process name: w3wp.exe 
    Account name: NT AUTHORITY\NETWORK SERVICE 

Request information: 
    Request URL: https://myurl:443/SuburbanCustPortal/Account/Logon2 
    Request path: /SuburbanCustPortal/Account/Logon2 
    User host address: xx.xx.xx.xx 
    User:  
    Is authenticated: False 
    Authentication Type:  
    Thread account name: NT AUTHORITY\NETWORK SERVICE 

Name to authenticate: testuser

我无法在我运行的一些测试用例中发生这种情况，这使得它更令人沮丧。

这是我的web.config：

<?xml version="1.0"?>
<!--
  For more information on how to configure your ASP.NET application, please visit
  http://go.microsoft.com/fwlink/?LinkId=152368
  -->
<configuration>

  <appSettings>
    <add key="webpages:Version" value="1.0.0.0"/>
    <add key="ClientValidationEnabled" value="true"/>
    <add key="UnobtrusiveJavaScriptEnabled" value="true"/>
    <add key="suburbanServiceUrl" value=""/>
  </appSettings>

  <system.web>

    <sessionState
      mode="InProc"
      stateConnectionString="tcpip=127.0.0.1:42424"
      stateNetworkTimeout="60"
      sqlConnectionString="data source=127.0.0.1;Integrated Security=SSPI"
      cookieless="false"
      timeout="60"
    />

    <customErrors mode="Off"/>
    <compilation debug="true" targetFramework="4.0">
      <assemblies>
        <add assembly="System.Web.Abstractions, Version=4.0.0.0, Culture=neutral, PublicKeyToken=31BF3856AD364E35"/>
        <add assembly="System.Web.Helpers, Version=1.0.0.0, Culture=neutral, PublicKeyToken=31BF3856AD364E35"/>
        <add assembly="System.Web.Routing, Version=4.0.0.0, Culture=neutral, PublicKeyToken=31BF3856AD364E35"/>
        <add assembly="System.Web.Mvc, Version=3.0.0.0, Culture=neutral, PublicKeyToken=31BF3856AD364E35"/>
        <add assembly="System.Web.WebPages, Version=1.0.0.0, Culture=neutral, PublicKeyToken=31BF3856AD364E35"/>
      </assemblies>
    </compilation>
    <authentication mode="Forms">
      <!-- timeout: Gets and sets the amount of time, in minutes, allowed between requests
                    before the session-state provider terminates the session. -->
      <forms loginUrl="~/Account/LogOn" timeout="60"/>
    </authentication>

    <membership>
      <providers>
        <clear/>
        <add name="AspNetSqlMembershipProvider"
             type="System.Web.Security.SqlMembershipProvider"
             connectionStringName="ApplicationServices"
             enablePasswordRetrieval="false"
             enablePasswordReset="true"
             requiresQuestionAndAnswer="false"
             requiresUniqueEmail="true"
             maxInvalidPasswordAttempts="30"
             minRequiredPasswordLength="6"
             minRequiredNonalphanumericCharacters="0"
             passwordAttemptWindow="10"
             applicationName="webportal"/>
      </providers>

    </membership>

    <profile>
      <providers>
        <clear/>
        <add name="AspNetSqlProfileProvider" type="System.Web.Profile.SqlProfileProvider" connectionStringName="ApplicationServices" applicationName="/"/>
      </providers>
    </profile>

    <roleManager enabled="true">
      <providers>
        <clear/>
        <add name="AspNetSqlRoleProvider" type="System.Web.Security.SqlRoleProvider" connectionStringName="ApplicationServices" applicationName="/"/>
        <add name="AspNetWindowsTokenRoleProvider" type="System.Web.Security.WindowsTokenRoleProvider" applicationName="/"/>
      </providers>
    </roleManager>

    <pages enableSessionState="true">
      <namespaces>
        <add namespace="System.Web.Helpers"/>
        <add namespace="System.Web.Mvc"/>
        <add namespace="System.Web.Mvc.Ajax"/>
        <add namespace="System.Web.Mvc.Html"/>
        <add namespace="System.Web.Routing"/>
        <add namespace="System.Web.WebPages"/>
      </namespaces>
    </pages>
  </system.web>

  <system.webServer>
    <validation validateIntegratedModeConfiguration="false"/>
    <modules runAllManagedModulesForAllRequests="true">
      <remove name="Session"/>
      <add name="Session" type="System.Web.SessionState.SessionStateModule"/>
    </modules>
    <httpProtocol>
    </httpProtocol>
    <staticContent>
      <clientCache cacheControlCustom="public"
      cacheControlMaxAge="00:00:01" cacheControlMode="UseMaxAge" />
    </staticContent>   
  </system.webServer>
  <runtime>
    <assemblyBinding xmlns="urn:schemas-microsoft-com:asm.v1">
      <dependentAssembly>
        <assemblyIdentity name="System.Web.Mvc" publicKeyToken="31bf3856ad364e35"/>
        <bindingRedirect oldVersion="1.0.0.0-2.0.0.0" newVersion="3.0.0.0"/>
      </dependentAssembly>
    </assemblyBinding>
  </runtime>
  <system.serviceModel>
    <bindings>
      <basicHttpBinding>
        <binding name="BasicHttpBinding_ISuburbanService" maxReceivedMessageSize="128072" />
      </basicHttpBinding>
    </bindings>
    <client>
      <endpoint address="http://localhost:2181/ISuburbanService.svc"
        binding="basicHttpBinding" bindingConfiguration="BasicHttpBinding_ISuburbanService"
        contract="SuburbanService.ISuburbanService" name="BasicHttpBinding_ISuburbanService" />
    </client>
    <!--<bindings>
      <basicHttpBinding>
        <binding name="BasicHttpBinding_ISuburbanService" closeTimeout="00:01:00"
          openTimeout="00:01:00" receiveTimeout="00:10:00" sendTimeout="00:01:00"
          allowCookies="false" bypassProxyOnLocal="false" hostNameComparisonMode="StrongWildcard"
          maxBufferSize="65536" maxBufferPoolSize="524288" maxReceivedMessageSize="65536"
          messageEncoding="Text" textEncoding="utf-8" transferMode="Buffered"
          useDefaultWebProxy="true">
          <readerQuotas maxDepth="32" maxStringContentLength="8192" maxArrayLength="16384"
            maxBytesPerRead="4096" maxNameTableCharCount="16384" />
          <security mode="Transport">
            <transport clientCredentialType="Basic" proxyCredentialType="None"
              realm="" />
            <message clientCredentialType="UserName" algorithmSuite="Default" />
          </security>
        </binding>
      </basicHttpBinding>
    </bindings>
    <client>
      <endpoint address="https://localhost/SuburbanHUB/ISuburbanService.svc"
        binding="basicHttpBinding" bindingConfiguration="BasicHttpBinding_ISuburbanService"
        contract="SuburbanService.ISuburbanService" name="BasicHttpBinding_ISuburbanService" />
    </client>-->
    <!--<behaviors>
      <serviceBehaviors>
        <behavior name="SomeServiceServiceBehavior">
          <serviceDebug includeExceptionDetailInFaults="true"/>
          <dataContractSerializer maxItemsInObjectGraph="2147483647"/>
        </behavior>
      </serviceBehaviors>
    </behaviors>-->
  </system.serviceModel>
</configuration>

捕获帖子的方法：

  [NoCache]
    [HttpPost]
    public ActionResult Receipt(string id)
    {
      var sb = new StringBuilder();
      try
      {
        sb.AppendLine("ActionResult Reciept(string account)");

        var count = 0;
        var postVals = new Dictionary<string, string>();
        foreach (var key in Request.Form.AllKeys)
        {
          sb.AppendLine("count: " + count);
          sb.AppendLine(string.Format("key:   {0}    Value:   {1}", key, Request.Form[key]));
          postVals.Add(key, Request.Form[key]);
          sb.AppendLine("finished count: " + count);
          count++;
        }
        sb.AppendLine("finished processing ALLKeys");
        var paymentReq = createPaymentRequest(postVals);
        sb.AppendLine("finished processing 'var paymentReq = createPaymentRequest(postVals)' ");
        var receipt = _client.RecordPaymentWithRequest(paymentReq);

        var retval = PartialView(receipt.Duplicate ? "Duplicate Receipt" : "Receipt", receipt);
        sb.AppendLine(string.Format("retval: {0}", retval));
        return retval;

      }
      catch (Exception ex)
      {
        sb.AppendLine(string.Format("Receipt error: {0}", ex.Message));
        Logging.LogException("Receipt error!", ex, _asName);
        throw;
      }
      finally
      {
        Logging.LogInfo(sb.ToString(), _asName);
      }
    }

正如您在上面所看到的，我没有[Authorize]，因此不应要求会员提供商检查访问权限。班级也没有。

有人对可能发生的事情有任何建议吗？

更新

2013-12-16 04:22:14 xxx.xxx.xxx.xxx GET /SuburbanCustPortal/Scripts/Views/logon.js - 443 - xxx.xxx.xxx.xxx Mozilla/5.0+(Linux;+Android+4.2.2;+en-us;+SAMSUNG+SGH-M919+Build/JDQ39)+AppleWebKit/535.19+(KHTML,+like+Gecko)+Version/1.0+Chrome/18.0.1025.308+Mobile+Safari/535.19 304 0 0 109
2013-12-16 04:22:14 xxx.xxx.xxx.xxx GET /SuburbanCustPortal/Content/images/mod/modavoca.png - 443 - xxx.xxx.xxx.xxx Mozilla/5.0+(Linux;+Android+4.2.2;+en-us;+SAMSUNG+SGH-M919+Build/JDQ39)+AppleWebKit/535.19+(KHTML,+like+Gecko)+Version/1.0+Chrome/18.0.1025.308+Mobile+Safari/535.19 304 0 0 93
2013-12-16 04:22:15 xxx.xxx.xxx.xxx GET /Content/favicon.ico - 443 - xxx.xxx.xxx.xxx Mozilla/5.0+(Linux;+Android+4.2.2;+en-us;+SAMSUNG+SGH-M919+Build/JDQ39)+AppleWebKit/535.19+(KHTML,+like+Gecko)+Version/1.0+Chrome/18.0.1025.308+Mobile+Safari/535.19 404 0 2 250
2013-12-16 04:22:15 xxx.xxx.xxx.xxx GET /apple-touch-icon-precomposed.png - 443 - xxx.xxx.xxx.xxx Mozilla/5.0+(Linux;+Android+4.2.2;+en-us;+SAMSUNG+SGH-M919+Build/JDQ39)+AppleWebKit/535.19+(KHTML,+like+Gecko)+Version/1.0+Chrome/18.0.1025.308+Mobile+Safari/535.19 404 0 2 250
2013-12-16 04:22:15 xxx.xxx.xxx.xxx GET /apple-touch-icon.png - 443 - xxx.xxx.xxx.xxx Mozilla/5.0+(Linux;+Android+4.2.2;+en-us;+SAMSUNG+SGH-M919+Build/JDQ39)+AppleWebKit/535.19+(KHTML,+like+Gecko)+Version/1.0+Chrome/18.0.1025.308+Mobile+Safari/535.19 404 0 2 78
#Software: Microsoft Internet Information Services 7.0
#Version: 1.0
#Date: 2013-12-16 04:39:52
#Fields: date time s-ip cs-method cs-uri-stem cs-uri-query s-port cs-username c-ip cs(User-Agent) sc-status sc-substatus sc-win32-status time-taken
2013-12-16 04:39:52 xxx.xxx.xxx.xxx GET / - 443 - xxx.xxx.xxx.xxx - 200 0 0 171
2013-12-16 04:50:12 xxx.xxx.xxx.xxx POST /SuburbanHUB/ISuburbanService.svc - 443 suburbansoftware xxx.xxx.xxx.xxx - 200 0 0 875
2013-12-16 04:50:12 xxx.xxx.xxx.xxx POST /SuburbanHUB/ISuburbanService.svc - 443 suburbansoftware xxx.xxx.xxx.xxx - 200 0 0 187
2013-12-16 04:50:12 xxx.xxx.xxx.xxx GET /SuburbanCustPortal/Account/Verify id=dde4bbfb-0d2e-4706-a604-36eea3fdcae3&verifyid=c0b4fdb5-9bb3-4d2b-b724-df42e6ea2a59 443 - xxx.xxx.xxx.xxx Mozilla/5.0+(iPhone;+CPU+iPhone+OS+7_0_3+like+Mac+OS+X)+AppleWebKit/537.51.1+(KHTML,+like+Gecko)+Version/7.0+Mobile/11B511+Safari/9537.53 200 0 0 1328
2013-12-16 04:50:12 xxx.xxx.xxx.xxx GET /SuburbanCustPortal/Content/reset.css - 443 - xxx.xxx.xxx.xxxMozilla/5.0+(iPhone;+CPU+iPhone+OS+7_0_3+like+Mac+OS+X)+AppleWebKit/537.51.1+(KHTML,+like+Gecko)+Version/7.0+Mobile/11B511+Safari/9537.53 200 0 0 453

日期从04:22:15到04:39:52失效

这是正常的吗？

修改

我为那些问过的人澄清了上述步骤。

Answer 1

当时发生这种情况非常可疑。

我同意，但似乎在步骤＃4中您重定向网站，然后用户进行数据输入。如果用户偶尔需要10-20分钟来输入该信息（由于分心等），这比仅仅是一个简单的竞争条件更有可能。

如果您仍然拥有所有错误的数据，您可以回头查看是否可以找到发生这种情况的时间模式（或每隔xx小时 - 见下文）。

检查您的IIS设置，以查看应用程序池何时回收。它是否每晚凌晨4点左右回收？它是否按计划进行？默认情况下，IIS由于某种原因（我认为每28小时）在几个小时内回收。
脱离InProc会话状态并进入State Server（或SQL）。从长远来看，InProc无论如何都会让你感到痛苦。请注意，进行此更改时，必须确保放入会话的所有对象都是可序列化的，否则您将收到错误。 InProc不需要在会话中序列化对象。

修改好的，检查您的应用池回收：

在IIS管理器中，选择相应的应用程序池并选择“高级设置”（右键单击或使用右侧菜单）。

滚动到底部，转到回收部分

常规时间间隔将每隔xx分钟重置一次应用程序池。默认值为1740分钟，或每29小时。

“特定时间”设置允许您设置回收的预定时间。

通常，您希望定期（可能每天）回收应用程序池。

回答你的第二个问题：如果这确实是原因，那不是超时的问题;这是一个问题，即应用程序池是否在重定向到重定向之间的时间段内进行循环。将会话状态更改为InProc以外的其他内容应该可以解决此问题。

也就是说，会话到期也可能是导致此问题的原因，因此将会话超时设置为更大的值也可以解决此问题。

如果您在发生这种情况的过程中对日志进行更广泛的了解，可能会提供更多有关正在发生的事情的线索。

编辑＃2

查看是否可以隔离日志中出现的错误。如果可以，请查看是否存在正在使用的浏览器模式。我还会寻找其他模式来查看是否有任何跳出来。

您可能只是尝试使用一堆不同的浏览器（包括移动设备）来查看是否可以重现。另外，在IE上尝试不同版本的IE和不同的安全设置。

Answer 2

我在web.config中找到的一些东西是 -

您有多个 applicationName 。通常情况下，如果 applicationName 不相同，则 IsUserInRole 和 GetRolesForUser 会失败。
此外，您希望为每个提供商设置 defaultProvider ，尤其是如果您有多个提供商，例如 roleManager - <roleManager ... defaultProvider="DefaultRoleProvider">

当前Web.config

<membership>
   <providers>
      <clear/>
          <add ... applicationName="webportal"/>
   </providers>
</membership>

<profile>
   <providers>
      <clear/>
      <add ... applicationName="/"/>
    </providers>
</profile>

<roleManager enabled="true">
   <providers>
      <clear/>
      <add ... applicationName="/"/>
      <add ...  applicationName="/"/>
   </providers>
</roleManager>

看看Scott Hanselman的ASP.NET Universal Providers博客的web.config。

<sessionState
   mode="InProc"
   stateConnectionString="tcpip=127.0.0.1:42424"
   stateNetworkTimeout="60"
   sqlConnectionString="data source=127.0.0.1;Integrated Security=SSPI"
   cookieless="false"
   timeout="60"
/>

对于 InProc ，您不需要 stateConnectionString ， stateNetworkTimeout 和 sqlConnectionString 。更多信息here。

Answer 3

请参阅ScottGu http://weblogs.asp.net/scottgu/archive/2006/04/22/Always-set-the-_2200_applicationName_2200_-property-when-configuring-ASP.NET-2.0-Membership-and-other-Providers.aspx的以下文章。

此外，请确保“aspnet_Applications”数据库表中的“ApplicationName”值和web.config中的所有提供程序的“applicationName”属性值（成员资格提供程序，角色提供程序，配置文件提供程序等）必须具有相同的值值得仔细考虑。

希望这可以解决您的问题！

Answer 4

我已经有一段时间了，因为我有这样的麻烦问题（但是我在7年前为pss做了这件事）。

@PhilSandler建议的一切都很好。但是我有一种直觉，根本原因不是AppPool回收或会话超时，如果你绝望，你可以试试Out-Of-Process Session State。

我在想它是否有大约十分之一的用户并且它看起来是间歇性的（因为你无法重现它），那么它可能是一个特定于浏览器的设置。 我猜测遇到此问题的用户在其浏览器中禁用了Cookie （FF和Chrome用户比普通IE用户更加开启）。

这个假设与@SilverlightFox理论略微匹配：

阻止第三方Cookie的框架集

<authentication mode="Forms">

我认为表单身份验证无法在客户端存储会话数据。 会员凭据验证失败可能因禁用Cookie而导致事件日志条目。

请在FF或Chrome中停用Cookie并尝试我的假设。手指越过这个允许你重现它。

Answer 5

浏览网页后，我发现以下解决方案是人们遇到4006错误并最终解决了问题。

将applicationName字段设置为“/”。 - 这是关于您的问题的最常见的对话。但是，你的applicationName字段看起来很好，所以绝对不是它。
ActiveDirectoryMembershipProvider问题 - Link。这似乎不太可能是您的问题，因为您使用的是SqlMembershipProvider。
Internet用户缺少.mdf和.ldf文件的权限 - Link。我看到的这个问题的引用是人们使用SQLExpress，因为它在ASP.NET用户帐户下运行并需要读/写访问权限。再次，这似乎不太可能是你的问题，因为你只是间歇性地拥有它。但它与4006错误有关，因此验证用户的权限似乎值得一看。
重复的用户密码 - 我没有保存链接，但如果您对数据库中的用户名和密码没有唯一约束，则可以返回4006响应。所以，这似乎也是最有可能的，因为它可以解释间歇性行为，因为人们经常在使用互联网时双击。我会加倍检查你的约束。

我会很高兴看到我能找到的其他东西，但排除其中的最后两个似乎是一个好主意。此外，对于日志中的差距而言似乎最奇怪的事情是EventLog数据显示几乎在IIS间隙中间发生的错误。然后在它恢复后，还有另一个对数间隙。它看起来可能是两个完全不同的用户。也许不是，只是扔那里。让我知道。祝你好运。

Answer 6

我注意到在IFrame上未正确设置src。

<div align="center"> <iframe width="100%" height="600px" src="@Html.Raw(@ViewBag.GateWayWebsite)"></iframe></div>

GateWayWebsite应该正确地进行HTML编码，以防它包含相关但未正确传递的特殊字符：

<div align="center"> <iframe width="100%" height="600px" src="@ViewBag.GateWayWebsite"></iframe></div>

另一个想法是，可能是阻止第三方cookie的框架集 - browser setting或P3P privacy policy header。尝试打开IFrame的外部链接（即地址栏更改为外部网站），就像测试一样，看看这是否可以解决您的问题。

修改：我不应该编辑我的答案，因为您现在已经恢复了您的upvote。我的答案在技术上是正确的，虽然它可能不是解决当前问题的答案，但我认为URL的输出是错误的，因为你不是HTML编码它。我发现最好修复所有内容，因为这样可以减少将来发生的难以调试的错误机会。

会员凭证验证问题在不应该使用时失败

6 个答案:

当前Web.config