विंडोज प्रमाणीकरण के साथ सत्र प्रबंधन

Question

एकीकृत विंडोज प्रमाणीकरण का उपयोग करते हुए एक एएसपी.नेट वेब ऐप में, विंडोज पहचान से जुड़ा सत्र है?
दूसरे शब्दों में, यदि मैं ऐप में लॉगिन (आईडब्ल्यूए का उपयोग कर रहा हूं), और ऐप मेरे सत्र में कुछ "सामान" स्टोर करता है, तो क्या यह सामान अकेले सत्र आईडी द्वारा पहुंचा जा सकता है? उदाहरण के लिए, यदि कोई दुर्भावनापूर्ण व्यक्ति मेरी सत्र आईडी चोरी करने में कामयाब रहा, लेकिन मेरे प्रमाण-पत्र नहीं, तो क्या वह मेरे सत्र सामान तक पहुंच सकता है? या यह सत्र केवल एक ही पहचान के लिए सुलभ है, दोनों सत्र आईडी और विंडोज़ पहचान को एक्सेस करने के लिए आवश्यक है?

Answer 1

उत्कृष्ट प्रश्न। मैंने यह जवाब लिखने से पहले पुष्टि करने के लिए बस एक परीक्षण चलाया।

• IWA का उपयोग कर वेबसाइट में व्यक्ति क लॉग, एक सत्र id सौंप दिया जाता है (:

  तो मैं 'व्यक्ति एक' हूँ, और आप 'व्यक्ति बी' कर रहे हैं, तो यह है कि क्या करना है उदाहरण के लिए, यूआरएल) में

• व्यक्ति बी भी वेबसाइट के लिए खुद के रूप में लॉग करता है (ताकि वे प्रमाणीकृत करने)
• व्यक्ति क भेजता व्यक्ति बी एक uRL लिंक एक सत्र पहचानकर्ता
• व्यक्ति बी क्लिक्स शामिल है उस लिंक पर, वे व्यक्ति ए के सत्र विवरण का उपयोग करके सीधे वेब साइट पर ले जाते हैं

ध्यान दें कि व्यक्ति बी को अभी भी 'व्यक्ति बी' के रूप में पहचाना जाता है, भले ही वे व्यक्ति ए के सत्र विवरण का उपयोग कर रहे हों। यदि आप कोड है कि उपयोगकर्ता अनुमतियों आदि की जांच करे, तो उन चेकों अभी भी व्यक्ति बी के संदर्भ में किया जाता है तो

यह एक बहुत बड़ा मुद्दा तरह ध्वनि सकता है, लेकिन यह वास्तव में जब तक प्रोग्रामर लापरवाह नहीं हैं । मिसाल के तौर पर, उपरोक्त मेरे परीक्षण में व्यक्ति बी का एकमात्र प्रभाव यह था कि उन्हें स्क्रीन ए और ग्रिड लेआउट विरासत में मिला, जिसे व्यक्ति ए ने स्थापित किया था, क्योंकि हम अपनी अनुमति जांचते हैं (यानी वे कैश नहीं होते हैं)। यदि आप सत्र में संवेदनशील डेटा संग्रहीत करते हैं तो यह एक समस्या हो सकती है, लेकिन यह केवल एक समस्या है यदि वे फ़ील्ड दिखाते हैं तो उन्हें दिखाए जाने की अनुमति नहीं है। यह केवल एक मुद्दा है यदि व्यक्ति ए के सत्र का समय समाप्त नहीं हुआ है।