Thread.CurrentPrincipal声称不正确是匿名的

时间：2010-08-30 23:50:09

标签： c# asp.net asp.net-mvc authentication forms-authentication

我在我的服务器上看到的似乎是由一个无关的客户端发出的请求，虽然我确定它们是由经过身份验证的用户制作的 - 我有fiddler日志显示客户端发送了有效的asp.net auth cookie，和服务器日志，指示cookie已到达且有效。所有浏览器都出现了这个问题。

数据流是：

  1. 用户访问登录网址，在属于webfarm的计算机上（所有计算机都使用同一台计算机，解密密钥）
  2. 在成功进行表单身份验证后，用户将重定向到受限制的网址，即其主页
  3. 主页正确呈现，知道用户的身份，并包含javascript以执行7次异步回发以获取其他数据
  4. Javascript启动7个http.get请求，点击webfarm中的不同机器（假设循环）
  5. 服务器验证请求：~0.01％无法进行身份验证。

    6. 思想？

    现在详细说明：

    极少数的异步请求落在我的服务器上（有证据表明它们没有被操纵或伪造）并且似乎是匿名的。在提出的7个请求中，有些数字可能有效，也可能无效（即5/7会成功，2会失败）。成功/失败似乎没有任何模式。在我的请求看起来是匿名的情况下，CurrentPrincipal.Identity记录：

    Thread.CurrentPrincipal.Identity.IsAuthenticated; // false
Thread.CurrentPrincipal.Identity.Name; // null (or empty, unsure off hand)

    将http.context.request.params集合转储到日志文件中，我能够看到以下相关（和擦除）属性（下面的完整参数）：

    context: {"userId":10000,"userName":"johnsmith"}
HTTP_COOKIE:.ASPXAUTH=[valid auth cookie value]
HTTP_X_REQUESTED_WITH:XMLHttpRequest
X-Requested-With: XMLHttpRequest
    AUTH_TYPE: 
    AUTH_USER: 
    AUTH_PASSWORD: 
    LOGON_USER: 
    REMOTE_USER: 
    HTTP_COOKIE: .ASPXAUTH=[valid auth cookie value]

    我知道auth cookie是有效的 - 在这些相同的请求中，我能够解密auth cookie并提取以下内容：

    CookiePath: /
Expiration: 9/23/2105 8:14:22 PM
Expired: False
IsPersistent: True
IssueDate: 8/30/2010 2:54:22 PM
Name: johnsmith
UserData: 
Version: 2

    目前还不确定如何处理。我们最近迁移到mvc 2.0 / asp.net 4.0时，这个问题似乎更加严重，但我的信心并不高。

    我已经联系了一些有这个问题的客户，而且这更令人沮丧（但确实反映了我能够在日志中阅读的内容）。一旦进入这种状态，就很难摆脱它。清除缓存和cookie似乎没有任何效果。但是，切换到新的浏览器，一般都可以。同样地，等待几个小时并使用相同的浏览器返回它也一般都可以，但并非总是如此。如前所述，所有浏览器都可以看到这种情况。

    有什么建议吗？ 凯文




    ------------
    以下是我捕获的日志片段的剩余部分（为pii擦除）：

    8/30/2010 2:54:43 PM: Anonymous user detected:
    Identity Name:
    IsAuthenticated::False
HttpContextInformation to follow:

8/30/2010 2:54:43 PM: Request Param collection contents:
context: {"userId":10000,"userName":"johnsmith"}
    .ASPXAUTH: A3C6615642F1F543397160C84C0E016C8439BDF400B0130AADAB82C93E77FFF3BEAD7726223F02049FA65B2C3E1773928C0371C4F580F2432C1538551BC5654020AD76F37159BA6BB68D7A68744AE036
    ASP.NET_SessionId: m5vit3cyv0rsiosqg5xmhhuu
    ALL_HTTP: HTTP_CONNECTION:close
HTTP_ACCEPT:text/javascript, text/html, application/xml, text/xml, */*
HTTP_ACCEPT_ENCODING:gzip, deflate
HTTP_ACCEPT_LANGUAGE:en-us
HTTP_COOKIE:.ASPXAUTH=A3C6615642F1F543397160C84C0E016C8439BDF400B0130AADAB82C93E77FFF3BEAD7726223F02049FA65B2C3E1773928C0371C4F580F2432C1538551BC5654020AD76F37159BA6BB68D7A68744AE036
HTTP_HOST:www.host.com
HTTP_REFERER:http://www.host.com/
HTTP_USER_AGENT:Mozilla/5.0 (iPhone; U; CPU iPhone OS 4_0 like Mac OS X; en-us) AppleWebKit/532.9 (KHTML, like Gecko) Version/4.0.5 Mobile/8A293 Safari/6531.22.7
HTTP_X_FORWARDED_FOR:166.137.139.139
HTTP_X_REQUESTED_WITH:XMLHttpRequest

    ALL_RAW: Connection: close
Accept: text/javascript, text/html, application/xml, text/xml, */*
Accept-Encoding: gzip, deflate
Accept-Language: en-us
Cookie: .ASPXAUTH=A3C6615642F1F543397160C84C0E016C8439BDF400B0130AADAB82C93E77FFF3BEAD7726223F02049FA65B2C3E1773928C0371C4F580F2432C1538551BC5654020AD76F37159BA6BB68D7A68744AE036
Host: www.host.com
Referer: http://www.host.com/
User-Agent: Mozilla/5.0 (iPhone; U; CPU iPhone OS 4_0 like Mac OS X; en-us) AppleWebKit/532.9 (KHTML, like Gecko) Version/4.0.5 Mobile/8A293 Safari/6531.22.7
X-Forwarded-For: 166.137.139.139
X-Requested-With: XMLHttpRequest

    APPL_MD_PATH: /LM/W3SVC/792523/Root
    APPL_PHYSICAL_PATH: d:\localpath\
    AUTH_TYPE: 
    AUTH_USER: 
    AUTH_PASSWORD: 
    LOGON_USER: 
    REMOTE_USER: 
    CERT_COOKIE: 
    CERT_FLAGS: 
    CERT_ISSUER: 
    CERT_KEYSIZE: 
    CERT_SECRETKEYSIZE: 
    CERT_SERIALNUMBER: 
    CERT_SERVER_ISSUER: 
    CERT_SERVER_SUBJECT: 
    CERT_SUBJECT: 
    CONTENT_LENGTH: 0
    CONTENT_TYPE: 
    GATEWAY_INTERFACE: CGI/1.1
    HTTPS: off
    HTTPS_KEYSIZE: 
    HTTPS_SECRETKEYSIZE: 
    HTTPS_SERVER_ISSUER: 
    HTTPS_SERVER_SUBJECT: 
    INSTANCE_ID: 792523
    INSTANCE_META_PATH: /LM/W3SVC/792523
    LOCAL_ADDR: 10.248.50.207
    PATH_INFO: /resource
    PATH_TRANSLATED: d:\localpath\resource
    QUERY_STRING: context={%22userId%22:10000,%22userName%22:%22johnsmith%22}
    REMOTE_ADDR: 10.208.205.171
    REMOTE_HOST: 10.208.205.171
    REMOTE_PORT: 37966
    REQUEST_METHOD: GET
    SCRIPT_NAME: /resouce
    SERVER_NAME: www.host.com
    SERVER_PORT: 80
    SERVER_PORT_SECURE: 0
    SERVER_PROTOCOL: HTTP/1.0
    SERVER_SOFTWARE: Microsoft-IIS/6.0
    URL: /resource
    HTTP_CONNECTION: close
    HTTP_ACCEPT: text/javascript, text/html, application/xml, text/xml, */*
    HTTP_ACCEPT_ENCODING: gzip, deflate
    HTTP_ACCEPT_LANGUAGE: en-us
    HTTP_COOKIE: .ASPXAUTH=A3C6615642F1F543397160C84C0E016C8439BDF400B0130AADAB82C93E77FFF3BEAD7726223F02049FA65B2C3E1773928C0371C4F580F2432C1538551BC5654020AD76F37159BA6BB68D7A68744AE036
    HTTP_HOST: www.host.com
    HTTP_REFERER: http://www.host.com/
    HTTP_USER_AGENT: Mozilla/5.0 (iPhone; U; CPU iPhone OS 4_0 like Mac OS X; en-us) AppleWebKit/532.9 (KHTML, like Gecko) Version/4.0.5 Mobile/8A293 Safari/6531.22.7
    HTTP_X_FORWARDED_FOR: 166.137.139.139
    HTTP_X_REQUESTED_WITH: XMLHttpRequest


8/30/2010 2:54:43 PM: Auth Ticket collection contents:
    CookiePath: /
    Expiration: 9/23/2105 8:14:22 PM
    Expired: False
    IsPersistent: True
    IssueDate: 8/30/2010 2:54:22 PM
    Name: johnsmith
    UserData: 
    Version: 2

6 个答案:

答案 0 :(得分：20)

这个答案有效，但同时令人失望和惊慌。

我花了两个月的时间从事MSDN技术支持，我们终于找到了解决这个问题的方法。我将把它留给微软解决这个问题，因为它几乎肯定是.net框架中的一个问题。但首先，让我总结一下这个问题，提供额外的相关背景信息以及我们在此过程中发现的一些有趣的事情。

症状是稍纵即逝的：我们的网站上有一些用户的报告，他们会通过我们的网站进行身份验证并查看正确的状态。但看似随机，他们将退出我们的网站，或偶尔，体验匿名视图。这是非常令人沮丧的，几乎不可能在家里本地复制。

同样出现症状：虽然所有浏览器和操作系统都受到一定程度的影响，但通过日志记录，我们看到移动设备（iphone，ipad和Android）浏览器受到了不成比例的影响。最后一个随机症状是：它对用户有一天工作，而不是下一个，下午晚些时候再次工作。当然，切换浏览器几乎总能解决问题。

我们很快就出现了身份验证问题，可能是身份验证Cookie问题。奇怪的是，我能够证明（追踪）错误的请求包括我能够解密的适当的cookie，但.net框架以非确定的方式忽略了。我最终开始记录处于此状态的所有请求 - .net框架忽略了auth cookie，但看起来对我有效，并且发现大约2％的用户受到影响。

我从使用Thread.CurrentPrincipal.Identity切换到HttpContext.Current.User.Identity，无济于事，并尝试了一些其他设置。奇怪的是，我能够做出的唯一改变就是迁移到.net 4框架（从3.5开始）。这个问题变得最糟糕。还尝试了各种负载均衡器配置，并且能够排除多个机器配置 - 发出auth cookie的同一台机器稍后会拒绝它。

重新迭代症状：我们有某些用户（非确定性），他们有时无法以经过身份验证的模式（也是非确定性）使用我们的网站。可爱。

到目前为止，雷德蒙德的产品团队参与其中，并且也很难过。但他们确实提出了一个建议，最终解决了这个问题，这里有： 尝试强制Microsoft.net框架使用cookie作为身份验证模式，而不是使用cookieless状态：

<authentication mode="Forms">
  <forms cookieless="UseCookies" />
</authentication>

翻转开关，立即将有问题的请求结束（一旦我将奇数状态的会话过期）。

虽然我很高兴问题得到了解决 - 或者更确切地说是解决了问题，但这是对我担心的各种浏览器的非确定性处理。为什么.net框架有一天会看到浏览器，并将其视为支持cookie，并在同一天说它应该使用无cookie会话？

我最后一个问题是，有多少其他网站在不知情的情况下丢失了2％的经过身份验证的流量？考虑到修复，它感觉非常像.net 4框架中的错误。

答案 1 :(得分：1)

不要在ASP.NET身份验证中使用它：

Thread.CurrentPrincipal = principal;

反而坚持：

HttpContext.Current.User = principal;

有关信息，请参阅本文link text，但更重要的是包括第一篇和最后一篇的评论 - 该文章是2004年的旧版本，但这些论据今天仍然有效。

因此，而不是：

Thread.CurrentPrincipal.Identity.IsAuthenticated; // false Thread.CurrentPrincipal.Identity.Name; // null (or empty, unsure off hand)

您应该使用：

 HttpContext.Current.User.Identity...

在这种情况下，您也可以使用AuthenticateRequest而不是PostAuthenticateRequest，因为没有线程问题可以解决。

答案 2 :(得分：0)

我建议您首先检查传入的Web请求是否确实具有身份验证cookie并且它是有效的。表单身份验证模块接收传入的Web请求，并查看它是否具有身份验证cookie。如果是，那么它会尝试解码它，然后使用其包含的值生成原则。由于您的原则是空的，这意味着请求中没有提供身份验证cookie，或者解码时出现错误，或者解码后发现它已过期或已被解码，奇怪的是它有空字符串作为用户名。

我建议您创建自己的模块，在其他模块之前调用，如果存在cookie，则自行检查，如果存在，则对其进行解码以查看其中包含的内容。这将为您提供有关其发生情况的更多详细信息。您自己的模块，可以重用FormsAuthentication模块中的方法来执行这些操作。比如...... 

ForsmAuthentication.Decrypt(...)

答案 3 :(得分：0)

以下是我在大多数需要基本身份验证的ASP.NET / Mvc应用程序中使用的身份验证。我相信它会有所帮助，并允许您在AuthenticationCookie中存储其他数据。如果您在.Net之前使用它，那么他们的身份验证.Net将覆盖您当前主体和用户属性的设置，使用PostAuthenticateRequest将解决最重要的问题。如果您有任何问题，请告诉我。


// Code that goes in the Global.asax.cs
// that runs after .Net has done it's authentication
protected void Application_PostAuthenticateRequest(object sender, EventArgs e)
{
    IPrincipal user = HttpContext.Current.User;

    if (user == null) { return; }

    FormsIdentity formsIdentity = user.Identity as FormsIdentity;

    if (formsIdentity == null || !formsIdentity.IsAuthenticated) { return; }

    Principal principal = new Principal(new Identity(formsIdentity.Ticket));
    HttpContext.Current.User = principal;
    Thread.CurrentPrincipal = principal;
}


// Base implementation of the System.Security.Principal.IPrincipal interface.
public class Principal : System.Security.Principal.IPrincipal
{
    #region Fields

    private IIdentity _identity = null;

    #endregion

    #region Constructors

    public Principal(IIdentity identity)
    {
        _identity = identity;
    }

    #endregion

    #region Properties

    public IIdentity Identity
    {
        get
        {
            return _identity;
        }
    }

    #endregion

    #region Methods

    public bool IsInRole(string role)
    {
        return (_identity != null && _identity.IsAuthenticated);
    }

    #endregion
}



// Base implementation of the System.Security.Principal.IIdentity interface. 
public class Identity : System.Security.Principal.IIdentity
{
    #region Fields

    private readonly int _userId;
    private readonly bool _isAuthenticated;
    private readonly string _userName;

    #endregion

    #region Constructors

    public Identity(FormsAuthenticationTicket formsAuthTicket)
    {
        if (formsAuthTicket == null)
        {
            throw new NullReferenceException("FormsAuthenticationTicket may not be null.");
        }

        if (string.IsNullOrEmpty(formsAuthTicket.UserData))
        {
            throw new NullReferenceException("FormsAuthenticationTicket.UserData may not be null or empty.");
        }

        string[] userData = formsAuthTicket.UserData.Split(new[] {"|"}, StringSplitOptions.RemoveEmptyEntries);

        if (userData.Length < 1)
        {
            throw new ArgumentOutOfRangeException("formsAuthTicket", userData, "UserData does not contain a UserId and or a SiteId");
        }

        _userId = Convert.ToInt32(userData[0]);
        _isAuthenticated = !formsAuthTicket.Expired;
        _userName = formsAuthTicket.Name;
    }

    #endregion

    #region Properties

    public int UserId
    {
        get
        {
            return _userId;
        }
    }
    public string AuthenticationType
    {
        get
        {
            return "Forms";
        }
    }
    public bool IsAuthenticated
    {
        get
        {
            return _isAuthenticated;
        }
    }
    public string Name
    {
        get
        {
            return _userName;
        }
    }

    #endregion
}

我希望这有助于解决您的问题。

答案 4 :(得分：0)

赏金：

  

我在使用asp.net 4.0的Azure应用程序中看到了这个，cookie就在那里你可以用FormsAuthentication.Decrypt解密它并读取所有内容（没有过期，正确的值等等）;就像描述的OP一样。与OP场景不同，我已经在使用UseCookies了，但仍然可以使用它。 Bounty是针对asp.net中可以触发此问题和解决方案的具体原因。

我的案子真是个愚蠢的问题：

  1. 通过FormsAuthentication.SetAuthCookie和相应的重定向
    2. 发放令牌
  2. 在web.config
    3. 中配置<forms>标记
  3. 检查页面中的User.Identity.IsAuthenticated /是否为
  4. Cookie就在那里，你甚至可以通过FormsAuthentication.Decrypt
    5. 解密它

    问题：不要忘记设置<authentication mode="Forms">，lol，总失败......

    OP上我的2美分：当尝试使用cookieless授权时，一些内部链接/重定向/ js可能会破坏破坏。另外，cookie支持检测不是很精确。

答案 5 :(得分：0)

我相信，根据我过去的经验，这个问题实际上是由ASP.NET无法识别IE10 +引起的。不知道浏览器及其功能，它回退到无cookie认证（一个坏的或至少是过时的假设）。

此处提供了浏览器定义文件的更新。 .NET 4.5

不存在此问题

https://support.microsoft.com/kb/2600088

http://support.microsoft.com/kb/2600100

http://support.microsoft.com/kb/2608565

相关问题
最新问题