écrire une page de connexion et valider l'utilisateur

Question

J'écris une page de connexion pour mon site. Je pensais, serait de générer un nombre de 64 bits aléatoire et le stocker dans la base de données avec un cookie httpOnly être un bon moyen de stocker les données? puis chaque fois qu'un utilisateur reçoit une page (il y a une barre d'outils qui indique le nombre de nouveaux messages qu'il a) pour vérifier si le cookie aléatoire correspond au cookie aléatoire + userId dans la base de données.

Est-ce bien?

BTW en utilisant C# ASP.NET

Answer 1

me semble raisonnable, à condition que vous avez une source sûre pour les nombres aléatoires. Les mauvais générateurs aléatoires (c'est-à-dire prévisibles) constituent un gros risque pour la sécurité.

Answer 2

Peut-être que ASP.NET Profiles vous aiderait. Consultez la définition SqlProfileProvider pour utiliser un fournisseur de profils préexistant. Et si votre base de données se trouve être quelque chose d'autre, vous pouvez toujours implement your own.

Answer 3

Je recommande d'utiliser un GUID plutôt qu'un nombre aléatoire de 64 bits. Un GUID est, à toutes fins pratiques, garanti d'être unique. En ce qui concerne la logique de sécurité que vous essayez d'implémenter, je ne peux pas dire si cela fonctionnera si et seulement si vous utilisez ce modèle car plus d'informations sont requises dans la question.