注销后表单身份验证会话有效

Question

是否有一种使来自服务器的表单身份验证会话无效的好方法？

我知道 cookie 具有嵌入式过期时间，但我想对服务器进行额外检查以验证用户是否没有手动注销。当用户手动退出时，我调用FormsAuthentication.SignOut()使 cookie 过期的方法。但是，如果我使用开发人员工具将 cookie 设置回其原始值，我仍然处于登录状态。

我能想到的一种选择是将“登录 ID”嵌入到UserData票证部分中。我的意思是每次登录都记录在数据库中，并且有一个与之关联的 ID。当用户手动注销时，我可以更新数据库记录以显示他们已经这样做了。但是，这需要我在每次对用户进行身份验证时查询数据库（不理想）。我可以维护一个缓存，但这似乎需要做很多工作，我希望有一种更简单的方法:)

谢谢！

Answer 1

MSDN记录了这些限制。要点：使用服务器上的持久存储来记录用户何时退出网站。