ASP.NET C#中如何在Login_Authenticate验证后保留变量值？

你当前的问题是变量仅在myLogin_Authenticate方法内作为局部变量存在，页面跳转或回发后就会被销毁。要实现持久化，可根据业务场景选择以下几种方案：

1. 使用Session临时存储（服务器端内存） #

适合登录后短时间内需要在多个页面使用用户信息的场景，数据存在服务器内存中，相对安全。

存储代码（验证通过后添加）：

if (e.Authenticated)
{
    // 存储邮箱和用户名
    Session["UserEmail"] = email;
    Session["UserName"] = uname;
    
    // 警告：绝对不要存储明文密码！若必须存储，需先通过强加密算法加密后再存入
    // Session["EncryptedPassword"] = YourEncryptionMethod(pass);
}

后续页面获取：

// 使用前需判断Session是否有效
string currentEmail = Session["UserEmail"] as string;
string currentUserName = Session["UserName"] as string;

if (!string.IsNullOrEmpty(currentEmail) && !string.IsNullOrEmpty(currentUserName))
{
    // 执行业务逻辑
}

2. 利用FormsAuthenticationTicket存储（加密Cookie） #

ASP.NET Forms认证的标准方案，用户信息会被加密后存入Cookie，可跨页面甚至跨会话使用（若设置持久化），安全性较高。

存储代码（验证通过后添加）：

if (e.Authenticated)
{
    // 拼接需要存储的用户数据（仅存邮箱和用户名，不存密码）
    string userData = $"Email={email};UserName={uname}";
    
    // 创建认证票据
    FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(
        1, // 版本号
        uname, // 用户名
        DateTime.Now, // 签发时间
        DateTime.Now.AddMinutes(30), // 过期时间，按需调整
        false, // 是否持久化Cookie（设为true则关闭浏览器后仍保留）
        userData, // 自定义用户数据
        FormsAuthentication.FormsCookiePath // Cookie路径
    );
    
    // 加密票据
    string encryptedTicket = FormsAuthentication.Encrypt(ticket);
    
    // 创建并添加认证Cookie
    HttpCookie authCookie = new HttpCookie(FormsAuthentication.FormsCookieName, encryptedTicket);
    Response.Cookies.Add(authCookie);
}

后续页面获取：

if (User.Identity is FormsIdentity formsIdentity)
{
    FormsAuthenticationTicket ticket = formsIdentity.Ticket;
    string userData = ticket.UserData;
    
    // 解析自定义数据
    var dataPairs = userData.Split(';');
    string currentEmail = dataPairs.First(p => p.StartsWith("Email=")).Split('=')[1];
    string currentUserName = dataPairs.First(p => p.StartsWith("UserName=")).Split('=')[1];
}

3. 使用Profile属性（长期存储用户信息） #

适合需要长期保存用户偏好或固定信息的场景，数据会被存入数据库（默认是SQL Server），需先在配置文件中设置。

第一步：在web.config中配置Profile

<system.web>
    <profile defaultProvider="AspNetSqlProfileProvider">
        <properties>
            <add name="UserEmail" type="System.String" />
            <add name="UserName" type="System.String" />
            <!-- 禁止存储明文密码 -->
        </properties>
    </profile>
</system.web>

第二步：存储代码（验证通过后添加）

if (e.Authenticated)
{
    Profile.UserEmail = email;
    Profile.UserName = uname;
    Profile.Save(); // 保存到数据库
}

后续页面获取：

string currentEmail = Profile.UserEmail;
string currentUserName = Profile.UserName;

关键安全提醒 #

• 绝对禁止存储明文密码：无论是Session、Cookie还是Profile，明文密码泄露会导致严重的安全问题。若业务必须用到密码，建议重新引导用户输入，或使用AES等强加密算法加密后再存储。
• Session默认超时时间为20分钟，可在web.config中通过<sessionState timeout="60"/>调整（单位：分钟）。
• 若使用持久化Cookie，需设置较短的过期时间，并启用HTTPS传输，避免Cookie被盗用。

内容的提问来源于stack exchange，提问作者Khushboo Tripathi