cách thay đổi id phiên sau khi đăng nhập trong asp.net

Question

Tôi có một trang web đang sử dụng xác thực mẫu và tư cách thành viên. Người dùng phải bật cookie để sử dụng trang web. Tôi đã được yêu cầu thay đổi mã để id phiên được thay đổi ngay sau khi người dùng đăng nhập. Aparently điều này sẽ bảo vệ chống lại một cuộc tấn công phiên Fixation (http://en.wikipedia.org/wiki/Session_fixation). Có ai biết làm thế nào tôi có thể thay đổi id phiên mà không làm mất toàn bộ phiên? PHP có một phương pháp cụ thể để làm điều này nhưng tôi không thể tìm thấy một NET tương đương.

Answer 1

Here's a blog post rằng cuộc đàm phán về vấn đề này:

ASP.NET không trực tiếp hỗ trợ chức năng để tái tạo một phiên ID. Xem tài liệu về số vấn đề here. Có một not-so quick and dirty way để làm điều đó bằng cách đặt giá trị ASPNET_SessionID thành chuỗi trống và chuyển hướng để rằng giá trị được tạo lại.

Answer 2

Tôi đã trả lời câu hỏi tương tự tại Generating a new ASP.NET session in the current HTTPContext. Về cơ bản chúng ta phải thay đổi một số trạng thái bên trong SessionStateModule để có thể tạo lại session ID mà không làm mất các đối tượng trong Session. Tôi đã sử dụng sự phản chiếu để thiết lập trường _rqId thành ID mới và _rqSessionStateNotFound thành true. Nhược điểm là chúng ta phải cấp "Full Trust" cho Ứng dụng.

Answer 3

Đây là một câu hỏi thực sự cũ Tôi đang hồi sinh, nhưng đây là giải pháp:

var manager = new SessionIDManager(); 
bool redirected, isAdded; 
manager.SaveSessionID(System.Web.HttpContext.Current, 
    "5vonjb4mtb1of2fxvhjvkh5d", out redirected, out isAdded); 

// sessionId now equals "5vonjb4mtb1of2fxvhjvkh5d" 
var sessionId = Session.SessionID;