Comment modifier l'ID de la session après la connexion à ASP.net

Question

J'ai un site Web qui utilise l'authentification et l'adhésion aux formulaires. Un utilisateur doit avoir des cookies activés pour utiliser le site. Il m'a été demandé de modifier le code afin que l'identifiant de session soit modifié dès qu'un utilisateur se connecte. Cela permettra de le protéger contre une attaque de fixation de session (http://en.wikipedia.org/wiki/Session_fixation). Est-ce que quelqu'un sait comment je peux changer l'identifiant de session sans perdre toute la session? PHP a une méthode spécifique pour le faire mais je ne trouve pas d'équivalent .NET.

Answer 1

Here's a blog post qui parle de ceci:

ASP.NET ne prend pas en charge directement fonctionnalité pour régénérer une session ID. Voir la documentation concernant le numéro here. Il est un not-so quick and dirty way pour le faire par en définissant la valeur ASPNET_SessionID à la chaîne vide et en redirigeant ainsi que la valeur est régénérée.

Answer 2

J'ai répondu à une question similaire à Generating a new ASP.NET session in the current HTTPContext. Fondamentalement, nous devons modifier une partie de l'état interne de SessionStateModule pour pouvoir régénérer l'ID de session sans perdre d'objets dans la session. J'ai utilisé la réflexion pour définir le champ _rqId sur le nouvel ID et _rqSessionStateNotFound sur true. L'inconvénient est que nous devons accorder une "confiance totale" à l'application.

Answer 3

C'est une question vraiment vieux je ressuscite, mais voici la solution:

var manager = new SessionIDManager(); 
bool redirected, isAdded; 
manager.SaveSessionID(System.Web.HttpContext.Current, 
    "5vonjb4mtb1of2fxvhjvkh5d", out redirected, out isAdded); 

// sessionId now equals "5vonjb4mtb1of2fxvhjvkh5d" 
var sessionId = Session.SessionID;