ASP.NETのセッション固定対策 - 2010-04-24 - T.Teradaの日記

本日は、ASP.NETでログイン機能をつくる際のセッション固定対策について書きます。 ログイン状態の管理には、ASP.NETが提供するセッション機構（ASP.NET_SessionId Cookie）を使っているとします。 ASP.NETでのセッション再生成 ログイン機能のセッション固定対策は、ログイン時に新たなセッションを開始することです。既存のセッションがなければ新たにセッションを開始し、既存のセッションがあるならばそのセッションは再生成されなければなりません。 しかし、ASP.NETはセッションを再生成する方法を提供していません。 それはJavaも同じなのですが、TomcatだとHttpSession#invalidateでセッションを無効化することで、セッションを再生成することができます*1。 ASP.NETでも普通に考えると、Session.Abandonという同等のメソッドを利

[JHashimoto]

"ASP.NETでログイン機能をつくる際のセッション固定対策について書きます。 ログイン状態の管理には、ASP.NETが提供するセッション機構（ASP.NET_SessionId Cookie）を使っているとします。"

[naoki0311]

ASP.NETセッション課題　Sessionを使用した、認証時の問題点。ただ、最後に記載されてるようにWebForm、MVCに限らず、MSはFormsAuthentication（MVC名前違ったかも）の使用を進めている様な…

[kogawam]

ASP.NETではログイン後の処理は次の方式だと思うが、ログイン時の処理自体を理解しようとすると頭混乱してきた。 (a)フォーム認証必須ディレクトリを設ける (b)（認証チケットに紐づいた）Userオブジェクトを見てauthorization

[kei_tanaka_des]

ASP.NETのセッション固定対策

[ockeghem]

いつもながら丁寧な仕事に敬意を表しつつ、アプリケーションプログラマはここに注目しましょう>『それではどうすればよいかというと、ASP.NETが提供するフォーム認証機構であるFormsAuthenticationをログイン管理に使います』