ASP.NET的基本安全问题

Question

我知道这些都是非常基本的问题。但是，希望澄清（或了解更多信息）以下内容：

1. 一旦用户登录，cookie（我猜它是表单身份验证cookie）将存储在客户端，并且将为后续请求传递相同的内容
2. ASP.NET如何在请求中保持登录用户详细信息（我知道，它不会每次从数据库中获取这些详细信息）。它是在会话或缓存中还是任何其他机制。
3. ASP.NET如何知道如何根据相应的用户详细信息映射Cookie？
4. ASP.NET是否在身份验证阶段拉出角色（比如是否设置了角色提供程序）并将其保留下来？
5. 想象一下，（持久性）cookie的失效日期设置为7天。第二天，当用户尝试登录时，我认为它将从数据库中获取用户信息。 ASP.NET如何理解它必须获取相同的用户详细信息？

上述任何一项是否改变了新ASP.NET身份（.NET 4.5）的成员资格API。我没有考虑索赔，外部等身份。

由于

Answer 1

1. 信息存储在加密的cookie中，是的。
2. 用户详细信息位于Cookie中 - 但使用只有服务器知道的密钥进行加密，因此浏览器可以安全地将其发回，浏览器将无法更改用户详细信息。
3. 这一切都在cookie中。
4. 在正常形式auth中，角色不是cookie的一部分，而是存储在其他地方。使用新的SessionAuthenticationModule，角色是cookie的一部分。
5. 这一切都在cookie中。