[.Net] Login control en session states

[Garma]

Hallo,

Ik gebruik in mijn applicatie de Login control, dwz in de web.config neem ik een authentication tag op en ik include de control op mn inlogpagina met de volgende eventhandler

code:

User user = Usermanager.instance.LoginUser(Loginbox1.UserName, Loginbox1.Password);
if (user != null)
{
    e.Authenticated = true;
    Session["User"] = user;
}

Vrij straightforward dus, die LoginUser returned null als de password fout is. Nu is mn probleem dat de cookie lang bewaard blijft (dus de user blijft ingelogd) en dat wil ik ook, maar dit is onafhankelijk van de sessionvariabele. Het gebeurd dus dat als je ingelogd bent, en weer terug komt (de volgende dag ofzo), dat de sessionvariabele weer leeg is. Ergo, nullpointer

Ik kan natuurlijk het userobject nogmaals ophalen maar hoe weet ik om welke user het gaat? Kan ik op een of andere manier zien om welke user het gaat?

Wat is de juiste manier om de sessionvariabele op te slaan zodat de user niet opnieuw hoeft in te loggen? of is er een andere manier om dit te doen?

[DoDo]

Je kan de sessie variabelen standaard in een database laten opslaan door ASP.NET, door middel van een configuratie instelling in je web.config.

Wat je verder zou kunnen doen is een unique id opslaan in je cookie, waaraan je de user kan herkennen. Hierdoor kun je steeds de user weer opzoeken in je database.

[ Voor 17% gewijzigd door DoDo op 12-04-2010 23:33 ]

[Garma]

Thanks,

Dat uid in de cookie opslaan heb ik aan gedacht maar dat lijkt me nou wel weer erg onveilig, ik bedoel ik maak geen bank-software maar zo simpel als een nummertje ophogen hoeft het ook weer niet te worden.

Kan je me een pointer geven naar die configuratieinstellingen? dat klinkt wel interessant

EDIT eigenlijk vind ik het niet zo erg om nogmaals dat userobject uit de database te fetchen, maar ik moet wel weten welke dat is. Is dat niet op een of andere manier uit te vogelen?

[ Voor 23% gewijzigd door Garma op 12-04-2010 23:45 ]

[DoDo]

Op deze link word alles uitgelegd:
http://msdn.microsoft.com/en-us/library/ms972429.aspx

Voor de rest kun je bijvoorbeeld gewoon het session id opslaan in de database van de laatste known sessie van de gebruiker. Deze hang je dan aan een userId.

Als je dan het sessieID in je cookie opslaat, kun je aan de hand daarvan kijken welke user daar bij hoort.

[Ild]

Kan je met Forms ook op deze manier werken? Of toch een gelijkaardige...

[bastv]

.net formsauthentication is hier toch prima geschikt voor?
bij inloggen:
FormsAuthentication.SetAuthCookie(username, true);

voor ophalen van user kan je dit gebruiken:
User.Identity.Name

meer info: http://www.15seconds.com/Issue/020220.htm

[Ild]

Ik bedoel bij Windows Forms, niet bij ASP.NET

[TeeDee]

Huh? Jij hebt het over cookies en sessions etc. etc. Gaat 't nu over asp.net of windows forms?

[Haan]

TeeDee schreef op woensdag 14 april 2010 @ 00:14:
Huh? Jij hebt het over cookies en sessions etc. etc. Gaat 't nu over asp.net of windows forms?

Forms vraag is niet van de TS, maar van een topic-kapert

[TeeDee]

Haan schreef op woensdag 14 april 2010 @ 09:32:
[...]
Forms vraag is niet van de TS, maar van een topic-kapert

offtopic:
scherp, helemaal niet gezien om 00.14, eerder geen slapen