Question

我目前正在使用Microsoft的Identity在Asp .NET Web API项目中帮助我的Auth。我正在生成一个不记名令牌并将其存储在名为HttpOnly

的AUTH cookie中

由于我没有在我的数据库中存储与令牌相关的任何内容，我该如何注销？在我将令牌存储在会话存储中之前，我只是将其删除到客户端，但现在因为我将令牌存储在HttpOnly cookie中，所以我无法在客户端做任何事情。

我是否在服务器上调用使用新Cookie AUTH进行响应并且值为空的路由？我试过了，但来自logout的响应Cookie似乎没有替换HttpOnly Cookie，只是创建了一个会话cookie。

这是我生成AUTH Cookie

的方式

context.Response.Cookies.Append("AUTH", accessToken,
                                new Microsoft.Owin.CookieOptions
                                {
                                     HttpOnly = true,
                                     Expires = DateTime.UtcNow.AddMinutes(5)
                                });

这是我从logout路线生成响应的方式。

var authCookie = new CookieHeaderValue("AUTH", "");
var xsrfCookie = new CookieHeaderValue("XSRF", "");

ActionContext.Response = new HttpResponseMessage();
ActionContext.Response.Headers.AddCookies(new CookieHeaderValue[] { authCookie, xsrfCookie });

return ActionContext.Response;

由于某种原因，此处返回的cookie不会覆盖使用身份验证令牌创建的cookie。

这是在HttpOnly Cookie中存储身份验证令牌时注销用户的最佳策略吗？

Answer 1

如果您没有存储身份验证令牌，那么您不能使其无效。因此，您可以强制浏览器从服务器中删除Cookie。尝试添加Domain和Path。您还可以将Expires设置为昨天，以便浏览器在收到cookie后立即将其删除。

authCookie.HttpOnly = true;
authCookie.Expires = DateTime.UtcNow.AddDays(-1);
authCookie.Domain = "localhost";
authCookie.Path = "/";

xsrfCookie.Expires = DateTime.UtcNow.AddDays(-1);
xsrfCookie.Domain = "localhost";
xsrfCookie.Path = "/";

Answer 2

一个解决方案似乎是存储一个额外的（非 HTTPOnly）cookie，它有一个“签名”，可以验证原始 HttpOnly cookie 是否仍然有效。

在后端，您应该检查 HttpOnly cookie 是否有效，并检查非 HttpOnly cookie 的值（签名），以便您知道客户端是否已使其无效。有很多技术可以做到这一点。只要确保您无法使用非 HttpOnly cookie 获取 HttpOnly cookie 的内容。

另一种解决方案是在用户注销时添加新的 cookie/本地存储，例如“has_logout”，然后在下一次成功请求时，如果“has_logout”为真，则应调用 /logout 端点。

希望有意义

如何使用存储在HttpOnly Cookie中的令牌注销

2 个答案: