.net的FormsAuthenticationTicket session、cookies验证用户信息用法的区别

缺乏、安全感 2022-01-11 19:55 118阅读 0赞

FormsAuthenticationTicket session、cookies为3种常用的验证用户登陆的方法，下边说一下他们的区别：

1）FormsAuthenticationTicket 是。net framework2.0及其以上版本中固有的验证机制，其本质是把用户的cookies信息加密存储在客户端，这样可以部分降低服务器端的内存消耗，不必像session那样把用户信息存储在服务端内存当中，而其数据的安全性则有微软来保证,详细用法请参考msdn官方文档： [http://msdn.microsoft.com/zh-cn/library/system.web.security.formsauthenticationticket\_members(v=vs.80).aspx][http_msdn.microsoft.com_zh-cn_library_system.web.security.formsauthenticationticket_members_v_vs.80_.aspx]。

2）session 使用session存储用户信息使用发放简便，可在含有http上下文的任意位置添加session对象，并且可以把对象赋予session，因为session为object类型，可被任意对象赋值，session本质上其实是在服务器端内存中开辟一段存储区用于存放session的值，而在客服端（浏览器）留下一个cookies标记，该标记为服务器端的session的一个id，不是session对象的具体内容，这样相对于数据安全来说相对安全，但也只是相对，这样做会对服务器端内存有所消耗，但影响应该不是很大，除非你的网站同时在线人数很多。不过session机制还是有一些缺陷，iis 中由于有进程回收机制，系统繁忙的话Session会丢失， IIS重启也会造成Session丢失。这样用户就要重新登录或者重新添加购物车、验证码等放到Session中的信息。所以微软才推荐使用FormsAuthenticationTicket票据方式来验证用户登陆。

3）cookies 以上2种方式都间接的使用了cookies，使用cookies来验证用户身份时，记得最好加密一下，除非你设定cookies的过期的时间，不然还是很容易被\*\*\*所利用，造成不必要的用户信息泄露。但cookies存储数据的大小有限制，平均下来不超过4K，有的浏览器支撑比较高，但那也只是有的不是所有浏览器都是，咱们只能取最小值。

以上只是本人的拙见，不对之处希望大家给予指教，共同进步 ![etc_17.gif][]

转载于:https://blog.51cto.com/tongling/1159266

[http_msdn.microsoft.com_zh-cn_library_system.web.security.formsauthenticationticket_members_v_vs.80_.aspx]: http://msdn.microsoft.com/zh-cn/library/system.web.security.formsauthenticationticket_members%28v=vs.80%29.aspx
[etc_17.gif]: https://blog.51cto.com/editor/icons/etc_17.gif