ASP.NET ID 2のロールがクッキー内にあるようです

Question

私は自分のデータベースを使ってASP.NET ID 2（具体的には2.2、私は思っていますが、投稿 'ASP.NET Identity Stripped Bare - MVC Part 1'とそのフォローアップ（part 2、natch）の投稿に基づいて、私はWebフォームとVBでそれを使うのに必要なだけいくつかの変更を加えました。これは私が最もよく知っているものなので、不要な場合はすぐに2つのことを学びたいと思っていません。また、アプリケーションのさまざまな領域へのアクセスを管理する役割も使用しています。

ログイン中に前後に移動してアプリケーションを移動するデータベースクエリを調べると、ロール（およびその他のクレーム）が認証Cookieに格納されているように見えます。

クッキーが主にクライアントの手に入ることを考えれば、私は心配すべきですか？クレームはCookieではなくWebサーバーにキャッシュされていますか？彼らがクッキーに入っていてそれが問題だとすれば、どうすればいいですか？

Answer 1

クッキーにはクレームなどが格納されていますが、暗号化されています。だから、彼らはそのクッキーの暗号化ほど安全です。

That encryption is AESであり、実際の攻撃は知られていません。あなたのmachineKeyが盗まれた場合、そこに問題がありますが、不正なクッキーよりもはるかに問題があります。