OWIN Cookie身份验证安全性

Question

我正在接近一个新项目，我正在权衡使用MVC5和身份通过OWIN。

我正在运行脚手架项目，为其提供实体框架用户数据库，注册/登录等。没有第三方或两个因素。

正如我目前所理解的那样，OWIN Security基于cookie，现在，自从我涉足网络已经过了几年，但我认为身份和声明应存储在会话中。< / p>

我正在检查用户登录时设置的Cookie并设置了各种声明。我实际上并不知道底层框架的作用，我正在努力寻找：

• 有没有技术链接？不是关于如何实现接口和设置它，而是关于安全性和最佳实践。
• 这个cookie实际上是什么？如何使用EditThisCookie检查设置的内容？如加密或混淆？
• 这比会话更安全吗？
• 如果某人，某些人如何获得此Cookie，他们是否可以基本以同一用户身份登录？
• 这是否规模？因为通常多个前端会与同一个会话服务器通信。

Answer 1

我们为您准备了大量样品，让您的脚湿润。 https://github.com/AzureADSamples

回答你的一些问题：

  

    

      

这个cookie实际上是什么，我如何使用EditThisCookie检查所设置的内容？       身份验证成功后，用户身份将存储在包含其身份的cookie中。

             

加密或混淆？       默认情况下，cookie已加密并签名。       这比会话更安全吗？

             

如果某人，某些人如何获得此Cookie，他们是否可以基本以同一用户身份登录？       除非频道绑定生效，否则。

             

这是否会扩大规模？通常，多个前端会与同一会话服务器通信。       我们发现它确实有规模。使用SymmetricKey加密，这很快。

    

  

可以选择使用缓存而不是将详细信息放在线路上。这需要分布式缓存，大多数开发人员似乎不想这样做。