cómo cambiar la identificación de la sesión después de iniciar sesión en asp.net

Question

Tengo un sitio web que usa autenticación y membresía de formularios. Un usuario debe tener las cookies habilitadas para usar el sitio. Se me ha pedido que cambie el código para que la identificación de la sesión se modifique tan pronto como un usuario inicie sesión. Aparentemente esto protegerá contra un ataque de fijación de sesión (http://en.wikipedia.org/wiki/Session_fixation). ¿Alguien sabe cómo puedo cambiar la identificación de la sesión sin perder toda la sesión? PHP tiene un método específico para hacer esto, pero no puedo encontrar un equivalente .NET.

Answer 1

Here's a blog post que habla de esto:

ASP.NET no admite directamente funcionalidad para regenerar una sesión ID. Consulte la documentación relativa al , el número here. Hay un not-so quick and dirty way para hacerlo por estableciendo el valor ASPNET_SessionID en la cadena vacía y redirigiendo así que el valor se regenera.

Answer 2

He respondido una pregunta similar al Generating a new ASP.NET session in the current HTTPContext. Básicamente, debemos cambiar parte del estado interno de SessionStateModule para poder regenerar el ID de sesión sin perder objetos en la sesión. Usé la reflexión para establecer el campo _rqId en la nueva ID y _rqSessionStateNotFound en verdadero. La desventaja es que debemos otorgar "plena confianza" a la aplicación.

Answer 3

Ésta es una pregunta muy viejo que estoy resucitar, pero aquí está la solución:

var manager = new SessionIDManager(); 
bool redirected, isAdded; 
manager.SaveSessionID(System.Web.HttpContext.Current, 
    "5vonjb4mtb1of2fxvhjvkh5d", out redirected, out isAdded); 

// sessionId now equals "5vonjb4mtb1of2fxvhjvkh5d" 
var sessionId = Session.SessionID;