asp.net-mvc - 在 ASP.NET Identity 中，如何在登录后安全地缓存用户密码？

Question

我有一个 Intranet 应用程序，其中所有用户操作都是通过对远程系统(没有本地表)的 API 调用来执行的。一些 API 调用需要用户密码。我真的不能要求用户在使用网站时不断重新输入密码(有时在他们刚刚登录后几秒钟)。

因此，在不将密码保存到数据库的情况下，我可以在哪里安全地缓存用户登录期间的密码(注意:“登录”，而不是“ session ”)。我尝试将它们存储在 Session 状态中，但问题是 session 仅持续 20 分钟，但登录 token 的有效期为 24 小时。

理想情况下，我希望它(以某种方式)直接链接到 .AspNet.ApplicationCookie，这样登录名和缓存的密码就不会不同步，但看起来不可能向该 cookie 添加自定义值。如果此 cookie 尚未加密，则可以对其进行加密。

编辑: 由于“记住我”功能，登录的持续时间可能比 Session.TimeOut 值长得多，因此我不想为此使用 Session。

Answer 1

我有一个项目，我必须实现完全相同的内容，最终得到了 ASP.NET Identity 接口(interface)的自定义实现。 (在我的例子中，用户名和密码是由具有 API 的外部系统管理的。)
我将解释代码的想法和主要部分。

所需的用户信息(例如用户名和密码)存储在自定义IUserStore内的ConcurrentDictionary内存中，根据定义，这是检索用户信息的位置。< br/> 笔记;我将跳过安全最佳实践。

访问用户密码的唯一位置是通过自定义 SignInManager 的 PasswordSignInAsync 方法。
这里事情变得不一样了!
在默认/常规流程中，SignInManager 使用 IUserStore 检索用户信息以进行密码检查。但是因为 IUserStore 的角色变成了被动内存存储，这不再可能了；这个初始查找必须通过例如完成。数据库查找。
然后 SignInManager 进行密码检查。
如果有效，用户信息将被添加或更新到自定义 IUserStore 中(通过 CustomUserStore 上的自定义方法)。
每次用户登录时进行更新也很重要，否则密码将保持陈旧，因为它在应用程序运行期间一直保存在内存中。

如果 Web 应用程序被回收并且 Dictionary 中的用户信息丢失，ASP.NET 身份框架会通过将用户再次重定向到登录页面来处理此问题，通过上述操作流程再次开始。

下一个要求是自定义UserManager，因为我的IUserStore没有实现ASP.NET Identity所需的所有接口(interface)；请参阅代码中的注释。这对于您的情况可能有所不同。

完成所有这些后，您可以通过UserManager检索CustomUser；用户对象持有密码:

CustomUser user = this._userManager.FindById(userName); 

下面是一些实现的摘录。

存储在内存中的数据:

public class UserInfo
{
    String Password { get; set; }

    String Id { get; set; }

    String UserName { get; set; }
}

自定义IUser:

public class CustomUser : IUser<String>
{
    public String Id { get; }

    public String Password { get; set; }

    public String UserName { get; set; }
}

自定义 IUserStore 及其写入方法:

public interface ICustomUserStore : IUserStore<CustomUser>
{
    void CreateOrUpdate(UserInfo user);
}

自定义UserStore:

public class CustomUserStore : ICustomUserStore
{   
    private readonly ConcurrentDictionary<String, CustomUser> _users = new ConcurrentDictionary<String, CustomUser>(StringComparer.OrdinalIgnoreCase);

    public Task<CustomUser> FindByIdAsync(String userId)
    {
        // UserId and userName are being treated as the same.
        return this.FindByNameAsync(userId);            
    }            

    public Task<CustomUser> FindByNameAsync(String userName)
    {
        if (!this._users.ContainsKey(userName))
        {
            return Task.FromResult(null as CustomUser);
        }

        CustomUser user;
        if (!this._users.TryGetValue(userName, out user))
        {
            return Task.FromResult(null as CustomUser);
        }

        return Task.FromResult(user);
    }        


    public void CreateOrUpdate(UserInfo userInfo)
    {
        if (userInfo != null)    
        {
            this._users.AddOrUpdate(userInfo.UserName,  
                // Add.
                key => new CustomUser { Id = userInfo.Id,  UserName = userInfo.UserName, Password = userInfo.Password) }
                // Update; prevent stale password.
                (key, value) => {
                    value.Password = userInfo.Password;
                    return value
                });
        }
    }
}

自定义UserManager:

public class CustomUserManager : UserManager<CustomUser>
{
    public CustomUserManager(ICustomUserStore userStore)
        : base(userStore)
    {}

    /// Must be overridden because ICustomUserStore does not implement IUserPasswordStore<CustomUser>. 
    public override Task<Boolean> CheckPasswordAsync(CustomUser user, String password)
    {            
        return Task.FromResult(true);
    }

    /// Must be overridden because ICustomUserStore does not implement IUserTwoFactorStore<CustomUser>.         
    public override Task<Boolean> GetTwoFactorEnabledAsync(String userId)
    {
        return Task.FromResult(false);
    }

    /// Must be overridden because ICustomUserStore does not implement IUserLockoutStore<CustomUser>.              
    public override Task<Boolean> IsLockedOutAsync(String userId)
    {
        return Task.FromResult(false);
    }                

    /// Must be overridden because ICustomUserStore does not implement IUserLockoutStore<CustomUser>.         
    public override Task<IdentityResult> ResetAccessFailedCountAsync(String userId)
    {
        Task.FromResult(IdentityResult.Success);
    }
}

自定义SignInManager:

public class CustomSignInManager : SignInManager<CustomUser, String>
{   
    private readonly ICustomUserStore _userStore;

    public CustomSignInManager(
        CustomUserManager userManager, 
        IAuthenticationManager authenticationManager
        ICustomUserStore userStore
        ) 
        : base(userManager, authenticationManager)
    {            
        this._userStore = userStore;
    }


    /// Provided by the  ASP.NET MVC template.        
    public override Task<ClaimsIdentity> CreateUserIdentityAsync(CustomUser user)
    {
        return user.GenerateUserIdentityAsync(this.UserManager);            
    }


    public override Task<SignInStatus> PasswordSignInAsync(String userName, String password, Boolean isPersistent, Boolean shouldLockout)
    {
        UserInfo userInfo = // Call method the retrieve user info from eg. the database.
        if (null == userInfo)
        {
            return Task.FromResult(SignInStatus.Failure);
        }

        // Do password check; if not OK:
        // return Task.FromResult(SignInStatus.Failure);

        // Password is OK; set data to the store.            
        this._userStore.CreateOrUpdate(userInfo);

        // Execute the default flow, which will now use the IUserStore with the user present.
        return base.PasswordSignInAsync(userName, password, isPersistent, shouldLockout);
    }
}