小编典典

什么是 ASP.NET Identity 的 IUserSecurityStampStore界面？

all

查看 ASP.NET Identity（ASP.NET 中的新成员实现），我在实现自己的时遇到了这个接口UserStore：

//Microsoft.AspNet.Identity.Core.dll

namespace Microsoft.AspNet.Identity
{ 
    public interface IUserSecurityStampStore<TUser> :
    {
        // Methods
        Task<string> GetSecurityStampAsync(TUser user);
        Task SetSecurityStampAsync(TUser user, string stamp);
    }
}

IUserSecurityStampStore由默认实现EntityFramework.UserStore<TUser>，本质上是获取和设置TUser.SecurityStamp属性。

经过一番挖掘，似乎 aSecurityStamp是Guid在关键点UserManager（例如更改密码）处新生成的 a。

因为我正在Reflector 中检查这段代码，所以我无法真正破译更多内容。几乎所有的符号和异步信息都被优化了。

此外，谷歌并没有提供太多帮助。

问题是：

SecurityStampASP.NET 标识中的 a 是什么，它的用途是什么？
创建身份验证cookie时是否起SecurityStamp任何作用？
是否需要对此采取任何安全后果或预防措施？例如，不要将此值向下游发送给客户端？

更新（2014 年 9 月 16 日）

此处提供源代码：

阅读 80

2022-07-02

共1个答案

小编典典

这旨在表示您的用户凭据的当前快照。因此，如果没有任何变化，印章将保持不变。但是，如果用户的密码被更改，或者登录被删除（取消链接您的 google/fb
帐户），印章将会改变。这对于自动签署用户/在发生这种情况时拒绝旧 cookie 之类的事情是必需的，这是 2.0 中的一项功能。

Identity 尚未开源，目前仍在筹备中。

编辑：更新为 2.0.0。
因此，它的主要目的SecurityStamp是在任何地方启用注销。基本思想是，每当用户更改与安全相关的内容（例如密码）时，自动使任何现有的登录
cookie 无效是一个好主意，因此如果您的密码/帐户先前被泄露，攻击者将不再具有访问权限。

在 2.0.0
中，我们添加了以下配置来挂钩中的OnValidateIdentity方法CookieMiddleware以查看并在SecurityStamp更改时拒绝
cookie。如果标记未更改，它还会自动刷新数据库中的用户声明refreshInterval（它负责更改角色等事情）

app.UseCookieAuthentication(new CookieAuthenticationOptions {
    AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
    LoginPath = new PathString("/Account/Login"),
    Provider = new CookieAuthenticationProvider {
        // Enables the application to validate the security stamp when the user logs in.
        // This is a security feature which is used when you change a password or add an external login to your account.  
        OnValidateIdentity = SecurityStampValidator.OnValidateIdentity<ApplicationUserManager, ApplicationUser>(
            validateInterval: TimeSpan.FromMinutes(30),
            regenerateIdentity: (manager, user) => user.GenerateUserIdentityAsync(manager))
    }
});

如果您的应用想要显式触发此行为，它可以调用：

UserManager.UpdateSecurityStampAsync(userId);

2022-07-02