asp.net cookie,身份验证和会话超时

避免使用会话尽可能多，如果你可以逃避没有看到它使多服务器部署qutie有点更容易。很可能，姓名和电子邮件是cookie的容易候选人。很容易伪造一个cookie，所以userID可能不是一个好主意，这取决于你的安全需要。

表单验证Cookie已加密，您可以向这些Cookie添加额外数据(请参阅下面的详细信息)。它可能是黑客，但不像一个简单的cookie那么容易。

这里是我以前用过的代码稍作修改去删除一些项目的具体细节。在登录控件的LoggedIn事件中调用此函数。

void AddUserIDToAuthCookie(string userID)  
{  
  //There is no way to directly set the userdata portion of a FormAuthenticationTicket  
  //without re-writing the login portion of the Login control  
  //  
  //I find it easier to pull the cookie that the Login control inserted out  
  //and create a new cookie with the userdata set  

  HttpCookie authCookie = Response.Cookies[AUTH_COOKIE];
  if(authCookie == null)
  {
    return;
  }

  Response.Cookies.Remove(AUTH_COOKIE);

  FormsAuthenticationTicket oldTicket = FormsAuthentication.Decrypt(authCookie.Value);
  var newTicket =
    new FormsAuthenticationTicket(oldTicket.Version,oldTicket.Name,oldTicket.IssueDate,oldTicket.Expiration,oldTicket.IsPersistent,userID,oldTicket.CookiePath);

  authCookie.Value = FormsAuthentication.Encrypt(newTicket);

  Response.Cookies.Add(authCookie);
}

FYI，我从一个旧项目复制，并在这里编辑它删除一些项目特定的位，所以它可能无法编译，但它会非常接近。

要在您的网页中获取ID …

FormsAuthenticationTicket ticket = ((FormsIdentity) Page.User.Identity).Ticket;
string id = ticket.UserData;

我使用这种机制来存储不是aspnetdb用户数据的一部分的id。如果所有的身份数据都由aspnetdb处理，您可能只需要访问Page.User.Identity对象。