ASP.NET Forms 驗證詳解 (中)：web.config 設定、Cookie 保護與 Ticket 結構

Forms 驗證核心設定集中在 web.config <forms> 元素。本文詳細說明各屬性用途、Cookie 保護機制 (驗證/加密)、FormsAuthenticationTicket 結構與序列化細節。

<forms> 元素完整屬性

<authentication mode="Forms">
  <forms name="MyAppCookie"
         loginUrl="Login.aspx"
         timeout="60"
         slidingExpiration="true"
         path="/"
         protection="All"
         requireSSL="false"
         cookieless="UseDeviceProfile"
         domain=""
         enableCrossAppRedirects="false" />
</authentication>

Cookie 保護機制

• 驗證 (Validation)：HMAC-SHA1 (或 machineKey validation="MD5") 產生 MAC 附加 Ticket 尾端，防篡改。
• 加密 (Encryption)：AES (或 machineKey validation="3DES") 加密 Ticket 內容，防竊取。
• All：先加密再驗證 (預設，最安全)。
• machineKey 同步：Web Farm 部署時所有節點 machineKey 必須一致，否則解密/驗證失敗。

FormsAuthenticationTicket 結構

public sealed class FormsAuthenticationTicket
{
    public int Version { get; }           // 1
    public string Name { get; }           // 使用者名稱
    public DateTime IssueDate { get; }    // 簽發時間
    public DateTime Expiration { get; }   // 到期時間 (UTC)
    public bool IsPersistent { get; }     // 是否持久 Cookie
    public string UserData { get; }       // 自訂資料 (如 UserId|Roles|Permissions)
    public string CookiePath { get; }     // Cookie 路徑
    // 內部：序列化為字串 → 加密 → Base64 → Cookie 值
}

UserData 最佳實務

• 格式：UserId|Role1,Role2|Perm1,Perm2 或 JSON。
• 大小限制：Cookie 總計 4KB，UserData 宜精簡，大量權限改用快取/資料庫查詢。
• 敏感資料 (密碼、Token) 絕不可放入 UserData。

無 Cookie 模式 (Cookieless)

• Ticket 序列化後嵌入 URL 路徑：/ (F(xxxx))/SecurePage.aspx。
• 缺點：URL 洩漏 Ticket、書籤/分享洩漏身分、SEO 不友好、無法支援絕對連結。
• 建議：僅針對不支援 Cookie 的舊裝置啟用，現代瀏覽器皆支援 Cookie。