在ASP.NET身份验证中,如何在登录后安全地缓存用户的密码？

Question

我有一个Intranet应用程序,其中所有用户操作都是通过对远程系统的API调用(没有本地表)进行的.一些API调用需要用户的密码.我真的不能要求用户在使用网站时重新输入密码(有时他们刚刚登录后几秒钟).

因此,如果不将密码保存到数据库,我可以在用户登录的时间内安全地缓存密码(注意:"登录",而不是"会话").我尝试将它们存储在会话状态,但问题是会话只持续20分钟,但登录令牌有效24小时.

理想情况下,我希望它(以某种方式)直接链接到.AspNet.ApplicationCookie,因此登录和缓存的密码不会失去同步,但它看不到可以向该cookie添加自定义值.如果此cookie尚未加密,则可以对其进行加密.

编辑:由于"记住我"功能,登录可以持续比Session.TimeOut值更长的时间,所以我不想为此使用Session.

Answer 1

我有一个项目，我必须实现完全相同的接口，并最终得到了ASP.NET Identity接口的自定义实现。（在我的例子中，用户名和密码由具有 API 的外部系统管理。）
我将解释代码的想法和主要部分。

所需的用户信息（例如用户名和密码）存储在ConcurrentDictionary自定义的内存中IUserStore，根据定义，这是检索用户信息的位置。
笔记; 我将跳过安全最佳实践。

访问用户密码的唯一方法是通过PasswordSignInAsync自定义的方法SignInManager。
这里事情变得不同了！
在默认/常规流程中，SignInManager使用IUserStore来检索用户信息以进行密码检查。但因为IUserStore的角色变成了被动记忆存储，这不再可能了；这个初始查找必须通过例如完成。数据库查找。
然后SignInManager进行密码检查。
如果有效，则将用户信息添加或更新到自定义中IUserStore（通过 上的自定义方法CustomUserStore。）每次用户登录时进行更新
也很重要，否则密码将保持陈旧，因为它会保存在内存中申请的持续时间。

如果 Web 应用程序被回收并且其中的用户信息Dictionary丢失，ASP.NET 身份框架会通过将用户再次重定向到登录页面来处理此问题，从而再次开始上述流程。

下一个要求是自定义UserManager，因为我IUserStore没有实现 ASP.NET Identity 所需的所有接口；请参阅代码中的注释。这对于您的情况可能有所不同。

完成所有这些后，您可以CustomUser通过UserManager;检索 a 用户对象持有密码：

CustomUser user = this._userManager.FindById(userName); 

下面是一些实现的摘录。

存储在内存中的数据：

public class UserInfo
{
    String Password { get; set; }

    String Id { get; set; }

    String UserName { get; set; }
}

习俗IUser：

public class CustomUser : IUser<String>
{
    public String Id { get; }

    public String Password { get; set; }

    public String UserName { get; set; }
}

自定义IUserStore一个方法来写入它：

public interface ICustomUserStore : IUserStore<CustomUser>
{
    void CreateOrUpdate(UserInfo user);
}

习俗UserStore：

public class CustomUserStore : ICustomUserStore
{   
    private readonly ConcurrentDictionary<String, CustomUser> _users = new ConcurrentDictionary<String, CustomUser>(StringComparer.OrdinalIgnoreCase);

    public Task<CustomUser> FindByIdAsync(String userId)
    {
        // UserId and userName are being treated as the same.
        return this.FindByNameAsync(userId);            
    }            

    public Task<CustomUser> FindByNameAsync(String userName)
    {
        if (!this._users.ContainsKey(userName))
        {
            return Task.FromResult(null as CustomUser);
        }

        CustomUser user;
        if (!this._users.TryGetValue(userName, out user))
        {
            return Task.FromResult(null as CustomUser);
        }

        return Task.FromResult(user);
    }        


    public void CreateOrUpdate(UserInfo userInfo)
    {
        if (userInfo != null)    
        {
            this._users.AddOrUpdate(userInfo.UserName,  
                // Add.
                key => new CustomUser { Id = userInfo.Id,  UserName = userInfo.UserName, Password = userInfo.Password) }
                // Update; prevent stale password.
                (key, value) => {
                    value.Password = userInfo.Password;
                    return value
                });
        }
    }
}

习俗UserManager：

public class CustomUserManager : UserManager<CustomUser>
{
    public CustomUserManager(ICustomUserStore userStore)
        : base(userStore)
    {}

    /// Must be overridden because ICustomUserStore does not implement IUserPasswordStore<CustomUser>. 
    public override Task<Boolean> CheckPasswordAsync(CustomUser user, String password)
    {            
        return Task.FromResult(true);
    }

    /// Must be overridden because ICustomUserStore does not implement IUserTwoFactorStore<CustomUser>.         
    public override Task<Boolean> GetTwoFactorEnabledAsync(String userId)
    {
        return Task.FromResult(false);
    }

    /// Must be overridden because ICustomUserStore does not implement IUserLockoutStore<CustomUser>.              
    public override Task<Boolean> IsLockedOutAsync(String userId)
    {
        return Task.FromResult(false);
    }                

    /// Must be overridden because ICustomUserStore does not implement IUserLockoutStore<CustomUser>.         
    public override Task<IdentityResult> ResetAccessFailedCountAsync(String userId)
    {
        Task.FromResult(IdentityResult.Success);
    }
}

习俗SignInManager:

public class CustomSignInManager : SignInManager<CustomUser, String>
{   
    private readonly ICustomUserStore _userStore;

    public CustomSignInManager(
        CustomUserManager userManager, 
        IAuthenticationManager authenticationManager
        ICustomUserStore userStore
        ) 
        : base(userManager, authenticationManager)
    {            
        this._userStore = userStore;
    }


    /// Provided by the  ASP.NET MVC template.        
    public override Task<ClaimsIdentity> CreateUserIdentityAsync(CustomUser user)
    {
        return user.GenerateUserIdentityAsync(this.UserManager);            
    }


    public override Task<SignInStatus> PasswordSignInAsync(String userName, String password, Boolean isPersistent, Boolean shouldLockout)
    {
        UserInfo userInfo = // Call method the retrieve user info from eg. the database.
        if (null == userInfo)
        {
            return Task.FromResult(SignInStatus.Failure);
        }

        // Do password check; if not OK:
        // return Task.FromResult(SignInStatus.Failure);

        // Password is OK; set data to the store.            
        this._userStore.CreateOrUpdate(userInfo);

        // Execute the default flow, which will now use the IUserStore with the user present.
        return base.PasswordSignInAsync(userName, password, isPersistent, shouldLockout);
    }
}