Formas de tiempo de espera de autenticación vs espera de sesión

Question

En mi página web asp.net estoy usando la autenticación de forma asp.net con configuración siguiente

<authentication mode="Forms"> 
    <forms loginUrl="~/Pages/Common/Login.aspx" 
      defaultUrl="~/Pages/index.aspx" 
      protection="All" 
      timeout="30" 
      name="MyAuthCookie" 
      path="/" 
      requireSSL="false" 
      cookieless="UseDeviceProfile" 
      enableCrossAppRedirects="false" > 
    </forms> 
</authentication> 

He siguientes preguntas

1. Lo que debería ser tiempo de espera para el valor sesión porque estoy usando la expiración deslizante dentro de la autenticación del formulario debido a que la sesión expirará antes de la autenticación del formulario. ¿Cómo puedo protegerlo?

2. Después de cerrar la autenticación de formulario me gustaría redirigir la página a logout.aspx pero me redirecciona automáticamente a loginpage.aspx. ¿Como es posible?

Answer 1

1. Para estar en el lado seguro: Tiempo de espera (Sesión) < = Tiempo de espera (FormsAuthentication) * 2
2. Si desea mostrar la página distinta a la especificada en el atributo loginUrl después del tiempo de espera de autenticación que necesita para manejar esto manualmente como ASP.NET no proporciona una manera de hacerlo.

Para lograr el # 2, puede verificar manualmente la cookie y su AutenticaciónTicket para la caducidad y redireccionar a su página personalizada en caso de que hayan expirado.
Puede hacerlo en uno de los eventos: AcquireRequestState, AuthenticateRequest.

código de ejemplo en el evento puede verse como:

// Retrieve AuthenticationCookie 
var cookie = Request.Cookies[FormsAuthentication.FormsCookieName]; 
if (cookie == null) return; 
FormsAuthenticationTicket ticket = null; 
try { 
    ticket = FormsAuthentication.Decrypt(cookie.Value); 
} catch (Exception decryptError) { 
    // Handle properly 
} 
if (ticket == null) return; // Not authorised 
if (ticket.Expiration > DateTime.Now) { 
    Response.Redirect("SessionExpiredPage.aspx"); // Or do other stuff here 
} 

Answer 2

Para los sitios que tienen una dependencia sesión, sólo tiene que cerrar la sesión de autenticación de un rancio con el evento de inicio de sesión en el Global.asax:

void Session_Start(object sender, EventArgs e) 
{ 
    if (HttpContext.Current.Request.IsAuthenticated) 
    { 

    //old authentication, kill it 
    FormsAuthentication.SignOut(); 
    //or use Response.Redirect to go to a different page 
    FormsAuthentication.RedirectToLoginPage("Session=Expired"); 
    HttpContext.Current.Response.End(); 
    } 

} 

Esto lo hace para que la nueva sesión = nueva autenticación, punto.