保护默认MVC 5应用程序的Cookie

Question

我在VS2013中启动了一个新的MVC 5应用程序（在向导中使用Authentication = Individual User Accounts）。

我正在查看我的web.config文件，它说：

    <authentication mode="None" />

但是，我可以清楚地创建一个帐户并登录我的网站。所以这有点神秘。我已经读过，如果我使用表单身份验证，我需要将我的cookie标记为仅用于我的站点才能保证安全（昨天SSL工作正常）。

如果我的身份验证模式设置为＆＃34;无＆＃34;是否有类似的步骤？

＆＃34;无＆＃34;在这种情况下真的意味着，因为我可以清楚地对我的网站进行身份验证吗？

我在Azure上托管，如果它有所作为，但我认为它没有。

Answer 1

MVC5不再使用表单身份验证。它在asp.net身份框架上使用OWIN中间件来处理身份验证。您将能够在位于App_Start文件夹上的Startup.Auth.cs文件上看到与身份验证相关的配置。

<authentication mode="None" />

当您使用MVC5个人用户帐户（不是任何其他旧/表单身份验证）时，身份验证模式设置为“无”。这意味着使用asp.net身份框架的MVC5上不再提供旧的web.config身份验证配置。

如果您使用MVC5 Windows身份验证，则身份验证模式将为Windows

<authentication mode="Windows" />

没有什么可担心托管在azure上，因为我们已经托管并在azure上管理mvc5基于Cookie的身份验证应用程序的数量而没有任何问题。

另外，您会注意到web.config上还有另一个配置，如下所示。

<modules>
  <remove name="FormsAuthentication" />
</modules>

这是用于在使用MVC5个人帐户身份验证资料时删除不再需要的HTTP模块。