Solucionar problemas de autenticación de formularios

La cookie de autenticación de formularios se pierde

47 45 54 20 68 74 74 70-3a 2f 2f 6c 6f 63 61 6c   GET http://local
68 6f 73 74 2f 46 6f 72-6d 73 41 75 74 68 4c 6f   host/FormsAuthLo
67 54 65 73 74 2f 57 65-62 46 6f 72 6d 31 2e 61   gTest/WebForm1.a
73 70 78 20 48 54 54 50-2f 31 2e 31 0d 0a 41 63   spx HTTP/1.1..Ac
63 65 70 74 3a 20 69 6d-61 67 65 2f 67 69 66 2c   cept: image/gif,
…Other headers of the GET request…
63 68 65 0d 0a 43 6f 6f-6b 69 65 3a 20 2e 41 53   che..Cookie: .AS
50 58 41 55 54 48 3d 33-43 45 46 39 42 39 41 30   PXAUTH=3CEF9B9A0
43 33 37 41 44 46 36 33-45 36 42 44 33 37 42 36   C37ADF63E6BD37B6
39 43 44 41 32 35 30 30-30 46 38 30 37 32 38 46   9CDA25000F80728F
35 31 43 39 35 36 36 44-31 34 43 35 34 31 34 35   51C9566D14C54145
38 31 43 39 33 45 32 41-30 31 44 44 43 44 45 46   81C93E2A01DDCDEF
32 34 41 31 37 34 32 39-34 31 30 43 30 39 37 34   24A17429410C0974
42 33 45 43 42 30 36 34-32 32 38 45 33 35 33 39   B3ECB064228E3539
39 41 38 32 32 42 33 42-39 33 36 44 46 30 38 46   9A822B3B936DF08F
42 41 42 44 33 45 31 30-32 44 30 30 32 31 30 43   BABD3E102D00210C
32 45 31 33 39 38 30 37-39 42 32 33 35 32 39 46   2E1398079B23529F
34 46 35 44 37 34 41 3b-20 50 72 6f 66 69 6c 65   4F5D74A; Profile
3d 56 69 73 69 74 6f 72-49 64 3d 62 32 34 65 62   =VisitorId=b24eb

Se agota el tiempo de salida del vale de autenticación de formularios

La otra causa común para redirigir a un usuario es si el vale de autenticación de formularios ha expirado. El vale de autenticación de formularios puede agotar el tiempo de salida de dos maneras. El primer escenario se produce si usa una expiración absoluta. Con expiración absoluta, el vale de autenticación expira cuando expira el tiempo de expiración. Por ejemplo, establece una expiración de 20 minutos y un usuario visita el sitio a las 14:00. El usuario será redirigido a la página de inicio de sesión si el usuario visita el sitio después de las 2:20 p.m.

Si utiliza la expiración variable, el escenario es un poco más complicado. La cookie y el vale resultante se actualizan si el usuario visita el sitio después de que la fecha de expiración esté a mitad de expiración. Por ejemplo, puede establecer una expiración de 20 minutos deslizando la expiración. Un usuario visita el sitio a las 14:00 y recibe una cookie que está configurada para expirar a las 14:20. La expiración solo se actualiza si el usuario visita el sitio después de las 2:10 p.m. Si el usuario visita el sitio a las 2:09 p.m., el vale no se actualiza porque no ha pasado la mitad del tiempo de expiración. Si el usuario espera 12 minutos y visita el sitio a las 2:21 p.m., el billete expirará. El usuario se redirige a la página de inicio de sesión.

Una manera de abordar este tipo de problema es registrar la cookie de autenticación de formularios y la información del vale. De esta forma, puede ver si IIS ha recibido la cookie y cuáles son los valores. Para ello, escriba un HttpModule y, a continuación, conecte ese módulo a la canalización de solicitudes. No tendrá que modificar el código de la aplicación para obtener la información que necesita.

El ejemplo adjunto funciona en Microsoft .NET Framework 1.1 y .NET Framework 2.0 y tiene comentarios en todo el documento. En el ejemplo se incluyen los siguientes archivos:

• FormsAuthEvents.cs: La clase que implementa IHttpModule y los vínculos en el evento Application_BeginRequest.

• FormsAuthInfo.cs: La clase que recupera la cookie y descifra el vale de autenticación de formularios. También comprueba el archivo Web.config de la aplicación para asegurarse de que está habilitada la autenticación de formularios.

• FormsAuthConfig.cs: la clase que lee la información del archivo FormsAuthLogger.config.

• Log.cs: El archivo que acepta un stringbuilder y escribe los valores en un archivo de registro.

• FormsAuthLogger.config: El archivo XML que lee el archivo Log.cs. Este archivo tiene que estar en la carpeta /bin con la DLL compilada. El archivo le permite configurar lo siguiente:

  • Filtrar por IP: Puede filtrar la captura de datos por IP del cliente. De esta forma, solo puede registrar las solicitudes de un cliente que se sabe que reproduce el problema. Esto reduce el tamaño del registro.

  • Tipo de captura: especifica dónde guardar el archivo. El valor predeterminado es la carpeta Archivos ASP.NET temporales, pero puede guardarlo en cualquier lugar siempre que la cuenta del proceso de trabajo tenga la capacidad de escribir en la carpeta.

Nota Proporcionaré un vínculo de descarga para el código proporcionado en el archivo FormsAuthLogger.zip.

Voy a señalar las áreas principales aquí:

1. Cree una clase que implemente la interfaz IHttpModule.

   public class FormsAuthEvents : IHttpModule 
   {
   …code…
   }

2. A wire up the event you want to look at. En este ejemplo, usamos el evento de Application_BeginRequest. De esta forma, podemos investigar cada solicitud y determinar si tiene la cookie de autenticación de formularios y registrar formsAuthenticationTicket si la cookie está allí.

   public void Init(HttpApplication application) 
   {
   //Wire up the BeginRequest event
   application.BeginRequest += (new EventHandler(this.Application_BeginRequest));
   }

3. Implemente el evento Application_BeginRequest.

   private void Application_BeginRequest(Object source, EventArgs e)
   {
      …code to log the ticket…
   }
   

4. Recupere la cookie de autenticación de formularios y descifra la cookie.

5. Registre los valores. Recomiendo el registro de lo siguiente, además de la información de los formularios. Esto le ayudará a alinear la información de autenticación de formularios con los registros de IIS, si es necesario:

   • Fecha: permite ver cuándo llegó la solicitud.

   • RequestType: muestra si la solicitud es Get o Post.

   • URL: muestra el patrón de solicitudes que conducen al problema.

   • Referente

   • ClientIP: vincula las solicitudes a un cliente específico.