ASP.NET: cómo detectar el tiempo de espera de autenticación

Question

He visto varios artículos como this one que explican cómo detectar que se ha agotado el tiempo de espera de la sesión de un usuario. Y por el bien de la claridad, estos artículos se refieren al valor de tiempo de espera definido por esta línea web.config:

<sessionState mode="InProc" cookieless="UseDeviceProfile" timeout="120" /> 

no entrar en ese método demasiado, pero esto requiere la comprobación de que Session.IsNewSession es verdadera y que una la cookie de sesión ya existe Pero no he visto ningún artículo sobre cómo detectar autenticación tiempo de espera - el definido por esta línea web.config:

<authentication mode="Forms"> 
    <forms loginUrl="~/Home/Customer" timeout="60" name=".ASPXAUTH" requireSSL="false" slidingExpiration="true" defaultUrl="~/Home/Index" cookieless="UseDeviceProfile" enableCrossAppRedirects="false"/> 
</authentication> 

múltiples artículos en línea, incluyendo this SO post, han dicho que el valor de tiempo de espera de sesión debe generalmente duplica el valor de tiempo de espera de autenticación. Entonces, como ahora, mi sesión es 120 y mi Autenticación es 60. Esto significa que nunca me encontraré en una situación en la que la sesión ha expirado, pero el usuario aún está autenticado; si el usuario excede el tiempo de espera, se deberá a Autenticación, no a Sesión.

Entonces, como todos los demás, estoy interesado en cómo informar al usuario que se ha agotado el tiempo de espera de la sesión (pero en realidad se debe al tiempo de espera de la autenticación). ¿Alguien sabe de una manera de lograr esto, o cualquier recurso en línea que pueda indicarme una solución?

Answer 1

Probablemente este no sea el enfoque óptimo, pero esto es algo en lo que pensé.

Al iniciar sesión, registre una marca de tiempo en el marcado de la sesión cuando el usuario inició sesión. En cada solicitud posterior (tal vez en el archivo global.asax BeginRequest?), Compare esta marca de tiempo con la hora actual y compárela con la autenticación tiempo de espera (Scott Hanselman explains how to read it here).

Esa es mi "parte superior fuera de mi cabeza" pensado de todos modos ...

Answer 2

que permitiría la obtención de la tubería http primera hora de la solicitud y enviar una respuesta apporpriate.
Mi fuente para responder a estas preguntas es:

módulo

Professional ASP.NET 2.0 Security, Membership, and Role Management

Un HTTP puede hacer el truco:

Web.config:

<configuration> 
    <system.web> 
    <httpModules> 
     <add name="MyAuthModule" type="MyAssembly.Security.MyAuthModule, MyAssembly"/> 

...

El Modu HTTP real le:

/// <summary> 
/// A module for detecting invalid authentication 
/// </summary> 
/// <remarks>See "How To Implement IPrincipal" in MSDN</remarks> 
public class MyAuthModule : IHttpModule 
{ 
    #region IHttpModule Members 
    void IHttpModule.Dispose() { } 
    void IHttpModule.Init(HttpApplication context) 
    { 
     context.AuthenticateRequest += new EventHandler(context_AuthenticateRequest); 
    } 
    #endregion 


    /// <summary> 
    /// Inspect the auth request... 
    /// </summary> 
    /// <remarks>See "How To Implement IPrincipal" in MSDN</remarks> 
    private void context_AuthenticateRequest(object sender, EventArgs e) 
    { 
     HttpApplication a = (HttpApplication)sender; 
     HttpContext context = a.Context; 

     // Extract the forms authentication cookie 
     string cookieName = FormsAuthentication.FormsCookieName; 
     HttpCookie authCookie = context.Request.Cookies[cookieName]; 

     if (authCookie != null) 
     { 
      FormsAuthenticationTicket authTicket = FormsAuthentication.Decrypt(authCookie.Value); 
      // check if previously authenticated session is now dead 
      if (authTicket != null && authTicket.expired) 
      { 
       // send them a Response indicating that they've expired. 
      } 
     } 
    } 
} 

¡Buena suerte!

Answer 3

Al iniciar sesión con el usuario, puede colocar una cookie en la máquina del usuario para indicar que tuvo una sesión. Cuando el usuario llega a la página de inicio de sesión (porque si su sesión expiró, su inicio de sesión también debe tenerla), verifique si el usuario tiene esa cookie y si tiene alguna de las claves de sesión que espera que tenga (si esto resulta difícil, simplemente configure una variable de sesión cuando inicien sesión). si tienen la cookie, pero ninguna de las claves de sesión, entonces su sesión expiró.