ASP.NET中OTP认证场景下的凭据传递问题求助

• 先排查Session的基础配置
  先检查Session的配置是否正常：

  • 传统MVC项目：确认web.config里Session的过期时间、存储模式配置正确，同时给IndexController加上[SessionState(SessionStateBehavior.Required)]特性，避免Session被禁用。
  • ASP.NET Core项目：在Startup.cs里确认已经添加了Session服务（services.AddSession(...)）并启用中间件（app.UseSession()），且中间件顺序在UseRouting之后、UseAuthorization之前。如果用内存存储Session，要确保应用没有频繁重启导致Session丢失；用分布式存储（如Redis）的话，检查连接是否正常。

• 加密Cookie存储临时验证状态
  把验证通过后的必要用户信息（比如用户ID、生成的安全令牌，绝对不能存明文密码）用强加密算法（如AES）加密后，存入HttpOnly+Secure属性的Cookie中，在VerifyAuthOTP页面读取解密后的信息。这种方式避开Session的不稳定问题，同时安全性有保障：

  // 登录验证通过后写入加密Cookie
  var tempLoginInfo = new { UserId = verifiedUser.Id, Token = Guid.NewGuid().ToString() };
  var jsonStr = System.Text.Json.JsonSerializer.Serialize(tempLoginInfo);
  var encryptedData = AesEncrypt(jsonStr, YourEncryptionKey); // 自己实现AES加密逻辑，密钥存配置文件
  
  Response.Cookies.Append("TempLogin", encryptedData, new CookieOptions
  {
      HttpOnly = true,
      Secure = true,
      SameSite = SameSiteMode.Strict,
      Expires = DateTimeOffset.UtcNow.AddMinutes(10) // 设置短过期时间，降低风险
  });
  
  // 在VerifyAuthOTP Action中读取
  var encryptedCookie = Request.Cookies["TempLogin"];
  if (!string.IsNullOrEmpty(encryptedCookie))
  {
      var decryptedStr = AesDecrypt(encryptedCookie, YourEncryptionKey);
      var tempLoginInfo = System.Text.Json.JsonSerializer.Deserialize<TempLoginModel>(decryptedStr);
      // 用tempLoginInfo做OTP验证逻辑
  }
  

• 数据库存储临时登录会话
  登录验证通过后，生成一个唯一会话ID，把用户ID、会话ID、过期时间存入数据库临时表，再把会话ID写入HttpOnly+Secure的Cookie。VerifyAuthOTP页面读取Cookie里的会话ID，去数据库查询对应的临时会话（同时检查是否过期），验证完成后删除该临时记录：

  // 登录验证通过后创建临时会话
  var sessionId = Guid.NewGuid().ToString();
  var tempSession = new TempLoginSession
  {
      SessionId = sessionId,
      UserId = verifiedUser.Id,
      CreatedAt = DateTime.UtcNow,
      ExpiresAt = DateTime.UtcNow.AddMinutes(10)
  };
  _dbContext.TempLoginSessions.Add(tempSession);
  await _dbContext.SaveChangesAsync();
  
  // 写入Cookie
  Response.Cookies.Append("TempSessionId", sessionId, new CookieOptions
  {
      HttpOnly = true,
      Secure = true,
      SameSite = SameSiteMode.Strict,
      Expires = tempSession.ExpiresAt
  });
  
  // 在VerifyAuthOTP Action中查询
  var sessionId = Request.Cookies["TempSessionId"];
  var tempSession = await _dbContext.TempLoginSessions
      .FirstOrDefaultAsync(s => s.SessionId == sessionId && s.ExpiresAt > DateTime.UtcNow);
  if (tempSession != null)
  {
      // 获取用户信息进行OTP验证
  }
  

• 修正TempData的使用方式
  如果坚持用TempData，注意：ASP.NET Core中TempData默认依赖Cookie（或Session），传统MVC则依赖Session。另外TempData的数据默认读取一次就销毁，要是需要在VerifyAuthOTP页面保留数据，读取时用TempData.Peek("Key")，或者读取后调用TempData.Keep("Key")。不过如果Session本身有问题，TempData也会失效，所以优先解决Session的基础配置问题。

内容的提问来源于stack exchange，提问作者Preet Govind