パスワードを変更した後でもFormsAuthenticationがセッション間で動作します

Question

私はバニラフォーム認証を使用しています。同じユーザーとして複数のセッションを開いていて、1つのセッションでパスワードを変更しても、もう1つのセッションは引き続き認証されます。

私は、2回目のセッションで再度資格情報を求められると思います。

ハッシュされたパスワードをCookieに書き込んで、この機能を取得するたびに確認する必要がありますか？

私にはセキュリティホールのようです。

Answer 1

これは予想される動作です。 FormsAuthenticationは、サーバーが実際にそのCookieを生成したことを検証するために、ユーザー情報のみを格納します（他のいくつかのデータとともに）。クッキー自体が有効なクレデンシャル（またはチケットまたはクレーム）です。これを心配している場合は、フォームのCookieが有効かどうか、または電話の可能性がある時間を減らしてパスワードの変更が発生した場合はサーバーに問い合わせる必要があります。FormsAuthentication.SignOut（）ログイン。

FormsAuthenticationが何をしたいのかということではないかもしれません。

これが役に立ちます。

Answer 2

私のコメントに記載されているように、あなたが望む動作であれば、この行動を強制する必要があります。これは、自分の "SecureBasePage"からすべての安全なページを派生させるのと同じくらい簡単なことです。その安全なページであなたのデータベースをポーリングして、ユーザが承認されてからパスワードが変更されているかどうかを調べることができます。