非ASP.NET环境下VB.net独立应用登录登出session实现方案咨询

核心实现逻辑 #

• 本地存储加密：直接使用Windows原生的DPAPI（数据保护API）加密需要落地存储的会话信息，不需要自行维护加密密钥。加密时指定CurrentUser作用域，仅当前登录的Windows用户可以解密对应数据，其他用户哪怕拿到注册表存储的密文也无法解析，彻底解决明文存储泄露风险。
• 服务端会话校验：本地只存储加密后的会话标识，所有有效性校验全部在服务端完成：
  • 登录成功后服务端生成无规则随机sessionID，同时记录该session绑定的用户ID、设备标识（可结合设备名+当前Windows用户SID生成，比单纯设备名的校验精度更高）、过期时间
  • 应用每次启动时，先读取本地加密存储的sessionID、用户ID，解密后发送到服务端校验，只有session未过期、绑定的设备标识与当前设备匹配，才允许免登进入
• 过期策略配置：组合使用两种过期规则适配需求：
  • 绝对过期：session从生成之日起最长可设置7天（可根据业务需求调整）有效，到期后无论是否使用都要求重新登录
  • 滑动过期：用户每次正常使用应用时，服务端自动将session的过期时间向后顺延，保证短时间内频繁使用的用户不需要重复登录
• 登出逻辑处理：用户主动触发登出操作时，本地清空所有加密存储的会话信息，同时请求服务端将对应sessionID立即作废，避免会话被恶意复用

你之前设计的绑定设备校验的思路是可行的，结合上述加密和服务端校验逻辑，完全可以满足内网场景下安全性和易用性的平衡。

代码参考示例 #

VB.NET 调用DPAPI加密解密实现 #

Imports System.Security.Cryptography

' 加密字符串
Public Function EncryptData(plainText As String, scope As DataProtectionScope) As String
    Dim plainBytes As Byte() = System.Text.Encoding.UTF8.GetBytes(plainText)
    Dim encryptedBytes As Byte() = ProtectedData.Protect(plainBytes, Nothing, scope)
    Return Convert.ToBase64String(encryptedBytes)
End Function

' 解密字符串
Public Function DecryptData(encryptedText As String, scope As DataProtectionScope) As String
    Dim encryptedBytes As Byte() = Convert.FromBase64String(encryptedText)
    Dim plainBytes As Byte() = ProtectedData.Unprotect(encryptedBytes, Nothing, scope)
    Return System.Text.Encoding.UTF8.GetString(plainBytes)
End Function

会话存储使用示例 #

' 登录成功后，使用CurrentUser作用域加密会话信息后再写入注册表
Dim encryptedSessionId = EncryptData(服务端返回的SessionID, DataProtectionScope.CurrentUser)
Dim encryptedUserId = EncryptData(当前登录用户ID, DataProtectionScope.CurrentUser)
' 把加密后的字符串写入注册表对应路径即可

内容的提问来源于stack exchange，提问作者Dumidor Dumbleplex