ASP.NET FormsAuthentication工作原理及IsAuthenticated赋值调试咨询

一、调试认证流程的具体步骤 #

• VS调试断点设置
  1. 打开项目的Global.asax，找到Application_AuthenticateRequest事件——这是ASP.NET处理认证的核心入口，没有的话手动添加就行，然后在这个方法里设断点。
  2. 启动调试模式，用已经登录过的浏览器访问网站，请求进来时会触发断点，这时就能一步步跟踪认证逻辑了。
• 查看Cookie解密过程
  1. 在断点处，直接调用FormsAuthentication.Decrypt(Request.Cookies[FormsAuthentication.FormsCookieName].Value)，就能即时看到解密后的FormsAuthenticationTicket内容，核对用户信息、角色、过期时间这些是否正确。
  2. 盯着HttpContext.Current.User的变化：解密成功且Ticket有效的话，ASP.NET会创建GenericPrincipal或者你自定义的Principal实例，把它赋值给User属性，这时候IsAuthenticated就会变成true。
• 跟踪请求调用栈
  调试时看调用栈，找到FormsAuthenticationModule相关的方法调用，这是处理Forms认证的核心模块，顺着调用栈走，就能看到从读Cookie到设置IsAuthenticated的完整流程。

二、查看IsAuthenticated赋值的源码细节 #

• 开启.NET源码调试
  1. 在Visual Studio里打开“工具->选项->调试->常规”，勾选“启用.NET Framework源代码调试”，同时确保配置了微软公共符号服务器（默认选项里能找到）。
  2. 调试到Application_AuthenticateRequest阶段时，在调用栈里找到FormsAuthenticationModule.OnAuthenticateRequest方法，右键选“转到源代码”，就能看到具体实现了。
• 核心源码逻辑拆解
  在FormsAuthenticationModule.OnAuthenticateRequest方法里，关键步骤是：
  1. 从Request里读取.ASPXAUTH这个Cookie；
  2. 调用FormsAuthentication.Decrypt解密Cookie值，拿到FormsAuthenticationTicket；
  3. 验证Ticket的有效性——比如有没有过期、签名是否合法；
  4. 如果Ticket有效，创建IPrincipal实例（默认是GenericPrincipal），赋值给HttpContext.User；
  5. IsAuthenticated是HttpContext.User.Identity的属性，当Identity是FormsIdentity且Ticket有效时，这个属性就会被设为true。

内容的提问来源于stack exchange，提问作者Robin Sun