何时启用窗体身份验证滑动过期

我已阅读MSDN，当您的网站没有激活SSL时，将slidingExpiration设置为false。这是为了限制劫持者可以使用被盗authcookie的时间。何时启用窗体身份验证滑动过期

但这没有任何意义。当没有SSL时，黑客可以自己拿到证书并使用它们。为什么当他/她有权访问用户名/密码时，他/她会窃取cookie？

我想说slidingExpiration与enabledSSL没有关系。

2012-05-21 mohsen dorparasti

为什么当他/她有权访问用户名/密码时，他/她会偷走cookie？

是什么让你觉得他有权访问用户名/密码？只有用户名存在于加密表单身份验证Cookie中。所以他偷的是cookie，而不是用户名或密码。他不能解密它（除非他使用蛮力），所以他无法获取原始用户名，也不能更改此用户名。由于该cookie中没有密码，因此他不能拥有该密码。所以如果这个cookie已经激活滑动过期，只要它有效就可以使用它。

但一般来说，如果您关心安全性，则应始终使用SSL。

来源

2012-05-21 07:54:50

没错。 cookie只包含用户名和黑客可以使用cookie，只要cookie有效（将slidingExpiration设置为false在这里效果很好），但是我想说，当用户尝试登录他的凭证时，如果没有SSL，将以纯文本形式发送，因此黑客可以使用这些而不是偷取结果auth cookie –

正确，你是绝对正确的。当用户登录时，用户名和密码以纯文本的形式发送。我以为你在问关于身份验证的cookie。 –

何时启用窗体身份验证滑动过期

回答

相关问题