ASP.NET的基本安全问题

Question

我知道这些都是非常基本的问题。但是，希望澄清(或了解更多信息)以下几点：

1. 一旦用户登录，cookie (我猜是窗体身份验证cookie)存储在客户端，随后的请求也会传递相同的cookie。
2. ASP.NET是如何在请求之间持久化地记录用户详细信息的(我知道，它不是每次从数据库中获取这些详细信息)。它是否在会话、缓存或任何其他机制中。
3. ASP.NET如何知道如何根据持久化的用户详细信息映射cookie？
4. ASP.NET是否在身份验证阶段(例如，如果设置了角色提供程序)并将其持久化？
5. 假设(持久性的) cookie的有效期设置为7天。第二天，当用户尝试登录时，我想它将从数据库中获取用户信息。ASP.NET如何理解它必须获取相同的用户详细信息？

上述新ASP.NET标识( .NET 4.5)的成员API中是否有任何更改。我没有考虑到索赔，外部等身份。

谢谢

Answer 1

1. 是的，信息存储在加密的cookie中。
2. 用户详细信息在cookie中--但加密的密钥只有服务器才知道，因此让浏览器将其发回是安全的，浏览器将无法更改用户详细信息。
3. 都在饼干里。
4. 通常情况下，角色不是cookie的一部分，而是存储在其他地方。使用新的SessionAuthenticationModule，角色是cookie的一部分。
5. 都在饼干里。