保护默认MVC 5应用程序的Cookie

Question

我在VS2013中启动了一个新的MVC 5应用程序(在向导中使用Authentication = Individual User Accounts).

我正在查看我的web.config文件,它说:

    <authentication mode="None" />

但是,我可以清楚地创建一个帐户并登录我的网站.所以这有点神秘.我已经读过,如果我使用表单身份验证,我需要将我的cookie标记为仅用于我的站点才能保证安全(昨天SSL工作正常).

如果我的验证模式设置为"无",是否有类似的步骤？

在这种情况下,"无"真正意味着什么,因为我可以清楚地对我的网站进行身份验证？

我在Azure上托管,如果它有所作为,但我认为它没有.

Answer 1

MVC5不再使用表单身份验证.它在asp.net身份框架上使用OWIN中间件来处理身份验证.您将能够在Startup.Auth.cs文件上看到位于App_Start文件夹上的与身份验证相关的配置.

<authentication mode="None" />

当您使用MVC5个人用户帐户(而不是任何其他旧/表单身份验证)时,身份验证模式设置为"无".这意味着使用asp.net身份框架的MVC5上不再提供旧的web.config身份验证配置.

如果您使用MVC5 Windows身份验证,则身份验证模式将为Windows

<authentication mode="Windows" />

没有什么可担心我们托管的天蓝色托管和管理天蓝色的mvc5基于Cookie的身份验证应用程序的数量没有任何问题.

您还会注意到web.config上有另一个配置如下.

<modules>
  <remove name="FormsAuthentication" />
</modules>

这是为了在使用MVC5个人用户帐户身份验证时不再需要删除HTTP模块.