已登录用户的密码过期策略

Question

我想使用密码过期策略。对于想要登录网站的用户，我们可以在登录控件的身份验证事件上检查密码。但是，如果用户已经登录，并且不会被登录页面缓存。In this question，有人建议处理HttpApplication.PostAuthenticateRequest事件不是一个好的方法。

我在考虑处理session_start()事件。对于每个用户，这将触发一次，我们可以检查用户密码是否为当前密码。但是我不知道如果一个已经登录的用户在几天后访问这个站点，这个事件会触发还是不触发？

Answer 1

是否确实要仅因为密码已过期而注销用户？登录cookie过期和密码过期是两个独立的问题。

我看不出维护登录cookie有什么错，直到它自己过期，然后在下次登录时强制用户更改他/她的密码。只要确保你不会发布过期时间过长的cookie，你的所有用户迟早都会重新登录。这就是您捕获可能的密码过期的地方。

还要注意，检查每个请求的过期时间(无论是PostAuthenticate还是PreHandlerExecute)可能是不可能的。如果您的站点依赖于外部身份验证源，则无法访问该站点并检查密码过期时间。想象一下，询问Google或Facebook (如果您的用户在那里进行了身份验证)密码是否过期。这是不可能的(或者根本不可能)。