come cambiare l'ID di sessione dopo l'accesso in asp.net

Question

Ho un sito Web che utilizza l'autenticazione e l'appartenenza moduli. Un utente deve avere i cookie abilitati per utilizzare il sito. Mi è stato chiesto di modificare il codice in modo tale che l'ID di sessione venga modificato non appena un utente esegue l'accesso. In questo modo verrà protetto da un attacco di Session Fixation (http://en.wikipedia.org/wiki/Session_fixation). Qualcuno sa come posso modificare l'ID della sessione senza perdere l'intera sessione? PHP ha un metodo specifico per farlo, ma non riesco a trovare un equivalente .NET.

Answer 1

Here's a blog post che parla di questo:

ASP.NET non supporta direttamente funzionalità per rigenerare una sessione ID. Vedere la documentazione relativa a il numero here. C'è un not-so quick and dirty way per impostare il valore ASPNET_SessionID su la stringa vuota e il reindirizzamento in modo da che il valore viene rigenerato.

Answer 2

Ho risposto a una domanda simile a Generating a new ASP.NET session in the current HTTPContext. Fondamentalmente dobbiamo modificare alcuni stati interni di SessionStateModule per poter rigenerare l'ID di sessione senza perdere oggetti nella Session. Ho usato reflection per impostare il campo _rqId sul nuovo ID e _rqSessionStateNotFound su true. Il rovescio della medaglia è che dobbiamo concedere "Full Trust" per l'applicazione.

Answer 3

Questa è una domanda davvero Io sto risorgere, ma ecco la soluzione:

var manager = new SessionIDManager(); 
bool redirected, isAdded; 
manager.SaveSessionID(System.Web.HttpContext.Current, 
    "5vonjb4mtb1of2fxvhjvkh5d", out redirected, out isAdded); 

// sessionId now equals "5vonjb4mtb1of2fxvhjvkh5d" 
var sessionId = Session.SessionID;