小编kil*_*yte的帖子

Azure DevOps 部署代理（在我们的一台 Windows VM 上自托管）突然决定停止工作，并在执行该IIS Web App Deploy步骤时抛出此错误：

Error: Unable to locate executable file: 'powershell'. Please verify either the file path exists or the file can be found within a directory specified by the PATH environment variable.

最近还有其他人收到这个吗？

查看日志，有一条警告表明：

PowerShell Core (pwsh.exe) is not available on agent machine. Falling back to using Windows PowerShell (powershell.exe). This can cause reduced performance. Please install the newer version of PowerShell for improved performance.

此错误有些不对劲，因为 A) 我使用 Powershell 安装了代理，B) 我删除了代理，并在发生此错误后能够使用 PowerShell …

在 ASP.NET MVC 中，防止有效 cookie 一次被多个客户端使用的“最佳实践”是什么？

在这种情况下，我们使用了 OWASP 的所有技巧。

• 严格的 HSTS：每个页面均采用 HTTPS/SSL
• Cookie 被列为仅 HTTPS
• Cookie 被标记为安全
• Cookie 的有效期很短
• 还有代码可以防止跨站点请求伪造 (XSRF) 逐页更改值。

这一切都很好，可以防止用户更改值，但它不能防止不良行为者窃取整个 cookie 并在它仍然有效时在其他地方重新使用它（“cookie 重播”或“会话固定”，具体取决于谁）你问）。据我所知，没有标准的 .NET 配置或样板文件可以防止这种情况发生。

例如，用户 A 登录，其身份验证 cookie 会持续t几分钟。该用户 PC 上的恶意软件会忽略 cookie 上的仅 HTTP/安全设置，并能够检索实际存储的 cookie，并将其发送给我们的坏人。然后，不良行为者可以使用 cookie 编辑工具将其添加到浏览器中，并以用户 A 的身份连接到站点，直到 cookie 过期或用户 A 注销（使会话无效）。

理想情况下，是否可以配置 .NET，以便在发现两个客户端同时使用 cookie 时会话失效？

评论过的类似项目：

哦，SO社区，我们知道你们有多么喜欢“重复”。

• Asp.net - 使用 SSL 防止 cookie 重放攻击：SSL 不能防止 cookie 重放，只能防止传输过程中的篡改。
• 防止在 ASP.NET 中重新使用身份验证 cookie：特定于用户注销后的 cookie 使用；在这里，用户仍然处于登录状态，而坏人可以访问。
• ASP.NET cookie 重播修复而不在服务器中存储身份验证令牌？：具体请求不在服务器上存储令牌，我不会排除它作为答案 …