自定义Session式用户认证授权的安全性及手动安全方案咨询

现有代码的安全问题 #

你的代码存在不少安全漏洞和逻辑错误，逐个拆解：

1. 密码存储完全不安全
   你直接把用户输入的明文密码和数据库的PasswordHash字段对比，说明数据库里存的是明文密码！一旦数据库泄露，所有用户密码直接暴露，这是最严重的安全问题。

2. 认证逻辑写反了
   授权页面的代码逻辑完全搞反：

   if (HttpContext.Session.GetString(isAuthenticated) == true ) // authorized users only page
   {
       Response.Redirect("Login");
   }
   

   正确逻辑应该是如果用户未认证（Session无该值或不为"true"），才跳转到登录页。现在的代码会把已认证用户踢去登录，不仅功能失效，还可能让未授权用户直接访问受保护页面。

3. Session配置的安全隐患
   默认ASP.NET Core的Session Cookie如果没额外配置，会有这些风险：

   • 未开启HttpOnly：容易被XSS脚本窃取SessionID，导致会话劫持
   • 未设置Secure：Cookie会在HTTP请求中发送，可能被中间人窃听
   • 未设置SameSite：易遭遇CSRF攻击，攻击者诱导用户提交恶意请求
   • 超时时间过长：用户离开后会话长时间有效，增加冒用风险

4. 缺乏用户身份标识
   只存IsAuthenticated标识，没有存储用户ID、角色等信息，没法做细粒度权限控制（比如区分管理员和普通用户），也没法跟踪操作日志溯源。

5. 登录查询的潜在问题
   使用FirstOrDefault查询用户，如果数据库存在多个同名用户，会返回第一个，可能导致错误认证。应确保用户名唯一，并用SingleOrDefault强制检查唯一性。

6. 注销逻辑缺失
   布局页有Logout按钮，但没给出后端代码。如果注销仅隐藏前端按钮、不清除Session的IsAuthenticated标识，用户会话仍有效，其他人可继续访问受保护页面。

手动实现安全认证的改进方式 #

如果坚持自主实现认证，必须做好这些安全措施：

1. 正确处理密码哈希 #

永远不要存明文密码，用慢哈希算法（如BCrypt、Argon2）处理：

• 注册时：哈希用户密码，将哈希值存入数据库PasswordHash字段
• 登录时：哈希输入密码，再与数据库哈希值对比
  示例代码（用BCrypt.Net）：

  // 注册时哈希密码
  string hashedPassword = BCrypt.Net.BCrypt.HashPassword(Password);
  // 登录时验证
  if (user != null && BCrypt.Net.BCrypt.Verify(Password, user.PasswordHash))
  {
      // 认证成功逻辑
  }
  

2. 强化Session安全配置 #

在Program.cs里配置Session的Cookie属性：

builder.Services.AddSession(options =>
{
    options.Cookie.HttpOnly = true; // 防止XSS窃取
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always; // 仅HTTPS下发送
    options.Cookie.SameSite = SameSiteMode.Strict; // 防止CSRF
    options.IdleTimeout = TimeSpan.FromMinutes(30); // 合理超时时间
});

3. 存储用户身份信息 #

认证成功后，除IsAuthenticated外，还要存储用户唯一标识和权限信息：

HttpContext.Session.SetString("IsAuthenticated", "true");
HttpContext.Session.SetInt32("UserId", user.Id);
HttpContext.Session.SetString("UserRole", user.Role);

访问受保护页面时，不仅检查认证状态，还要根据角色/权限判断是否允许访问。

4. 防止CSRF攻击 #

对POST请求（如登录、注销）添加AntiForgeryToken：

• 前端表单加：@Html.AntiForgeryToken()
• 后端动作方法加[ValidateAntiForgeryToken]特性

5. 登录失败限制 #

防止暴力破解，比如连续5次失败后锁定账户15分钟，或要求验证码：

// 数据库记录登录失败次数和锁定时间
if (user.FailedLoginAttempts >= 5 && user.LockoutEnd > DateTime.Now)
{
    ModelState.AddModelError("", "账户已锁定，请15分钟后再试");
    return Page();
}

6. 会话固定防护 #

登录成功后重新生成SessionID，避免攻击者利用旧SessionID劫持会话：

HttpContext.Session.Clear();
HttpContext.Session.SetString("IsAuthenticated", "true");
// 重新生成SessionID
HttpContext.Session.SetString("NewSessionFlag", "true");

7. 强制使用HTTPS #

配置应用强制所有请求跳转HTTPS，防止密码和SessionID传输时被窃听：

builder.Services.AddHsts(options =>
{
    options.Preload = true;
    options.IncludeSubDomains = true;
    options.MaxAge = TimeSpan.FromDays(365);
});

中间件添加：app.UseHsts();

8. 完善注销逻辑 #

注销时彻底清除Session信息：

public IActionResult OnPostLogout()
{
    HttpContext.Session.Clear();
    return RedirectToPage("/Login");
}

内容的提问来源于stack exchange，提问作者Newbie