ASP.NETでSetAuthCookie（）を使用してuserIdのみを保存するのは安全ですか

FormsIuthentication.SetAuthCookie（）を使用してCookieにUserId（データベースの主キー）のみを保存し、永続的なクッキー？ASP.NETでSetAuthCookie（）を使用してuserIdのみを保存するのは安全ですか

私はユーザーがユーザー名を保存する例をたくさん見てきましたが、この（userId）は1桁または2桁の数字になる可能性があります。私はそれをするべきですか？そうでない場合は、単にユーザー名を保存すれば、なぜ、もっとうまくいくのでしょうか？

出典

2010-11-29 synepis

それは安全でではありませんその値を暗号化せずに保存し、その値をCookieから読み取って、それを使用して後続のリクエストでユーザーのIDを認証する場合は、を使用します（この方法でユーザー名を使用すると安全ではありません）。

Cookieの値を変更するのは簡単ではなく、ユーザーは別のユーザーのIDを含むことができるため、安全ではありません。

ただし、ユーザーIDをFormsAuthenticationTicket.UserDataとencrypt the ticketに保存すると安全です。

出典

2010-11-29 22:01:31

この回答は完全に正確ではありません。 FormsAuthトークンの*全体*の内容は、ユーザー名/ユーザーIDなど、暗号化されて署名されているため、改ざんできません。 SetAuthCookieのパラメータとしてユーザー名の代わりにユーザーIDを渡しても、セキュリティプロパティーは基本的に正または負のどちらかに変更されません。 – Levi

あなたは正しいです。質問をすばやく読んで、SetAuthCookieの使用に関する具体的な言及を見逃しました。 –

私は人々が（それの音による）だけでユーザーIDと多くを行うことができないと思います（これは、再び短い名前かもしれない）、またはデータベース内の主キーで

出典

2010-11-29 18:08:18 Spooks

ASP.NETでSetAuthCookie（）を使用してuserIdのみを保存するのは安全ですか

答えて

関連する問題