Solucionar problemas de autenticação de formulários

O cookie de autenticação de formulários é perdido

47 45 54 20 68 74 74 70-3a 2f 2f 6c 6f 63 61 6c   GET http://local
68 6f 73 74 2f 46 6f 72-6d 73 41 75 74 68 4c 6f   host/FormsAuthLo
67 54 65 73 74 2f 57 65-62 46 6f 72 6d 31 2e 61   gTest/WebForm1.a
73 70 78 20 48 54 54 50-2f 31 2e 31 0d 0a 41 63   spx HTTP/1.1..Ac
63 65 70 74 3a 20 69 6d-61 67 65 2f 67 69 66 2c   cept: image/gif,
…Other headers of the GET request…
63 68 65 0d 0a 43 6f 6f-6b 69 65 3a 20 2e 41 53   che..Cookie: .AS
50 58 41 55 54 48 3d 33-43 45 46 39 42 39 41 30   PXAUTH=3CEF9B9A0
43 33 37 41 44 46 36 33-45 36 42 44 33 37 42 36   C37ADF63E6BD37B6
39 43 44 41 32 35 30 30-30 46 38 30 37 32 38 46   9CDA25000F80728F
35 31 43 39 35 36 36 44-31 34 43 35 34 31 34 35   51C9566D14C54145
38 31 43 39 33 45 32 41-30 31 44 44 43 44 45 46   81C93E2A01DDCDEF
32 34 41 31 37 34 32 39-34 31 30 43 30 39 37 34   24A17429410C0974
42 33 45 43 42 30 36 34-32 32 38 45 33 35 33 39   B3ECB064228E3539
39 41 38 32 32 42 33 42-39 33 36 44 46 30 38 46   9A822B3B936DF08F
42 41 42 44 33 45 31 30-32 44 30 30 32 31 30 43   BABD3E102D00210C
32 45 31 33 39 38 30 37-39 42 32 33 35 32 39 46   2E1398079B23529F
34 46 35 44 37 34 41 3b-20 50 72 6f 66 69 6c 65   4F5D74A; Profile
3d 56 69 73 69 74 6f 72-49 64 3d 62 32 34 65 62   =VisitorId=b24eb

O tíquete de autenticação de formulários acaba

A outra causa comum para um usuário ser redirecionado é se o tíquete de autenticação de formulários tiver expirado. O tíquete de autenticação de formulários pode acabar de duas maneiras. O primeiro cenário ocorrerá se você usar a expiração absoluta. Com expiração absoluta, o tíquete de autenticação expira quando o tempo de validade expira. Por exemplo, você define uma expiração de 20 minutos e um usuário visita o site às 14h. O usuário será redirecionado para a página de logon se o usuário visitar o site após as 14h20.

Se você usar a expiração deslizante, o cenário será um pouco mais complicado. O cookie e o tíquete resultante são atualizados se o usuário visitar o site depois que o tempo de validade estiver expirado. Por exemplo, você define uma expiração de 20 minutos usando a expiração deslizante. Um usuário visita o site às 14h e o usuário recebe um cookie que está previsto para expirar às 14h20. A expiração só será atualizada se o usuário visitar o site após as 14h10. Se o usuário visitar o site às 14h09, o tíquete não será atualizado porque metade do tempo de validade não foi passado. Se o usuário aguardar 12 minutos, visitando o site às 14h21, o tíquete expirará. O usuário é redirecionado para a página de logon.

Uma maneira de abordar esse tipo de problema é registrar as informações de cookie e tíquete de autenticação de formulários. Dessa forma, você pode ver se o cookie foi recebido pelo IIS e quais são os valores. Você pode fazer isso escrevendo um HttpModule e conectando esse módulo ao pipeline de solicitação. Você não precisará modificar o código do aplicativo para obter as informações necessárias.

O exemplo anexado funciona no Microsoft .NET Framework 1.1 e no .NET Framework 2.0 e tem comentários por toda parte. O exemplo inclui os seguintes arquivos:

• FormsAuthEvents.cs: a classe que implementa o IHttpModule e vincula-se ao evento Application_BeginRequest.

• FormsAuthInfo.cs: a classe que recupera o cookie e descriptografa o tíquete de autenticação de formulários. Ele também verifica o arquivo Web.config do aplicativo para garantir que a autenticação de formulários esteja habilitada.

• FormsAuthConfig.cs: a classe que lê informações do arquivo FormsAuthLogger.config.

• Log.cs: o arquivo que aceita um construtor de cadeias de caracteres e grava os valores em um arquivo de log.

• FormsAuthLogger.config: o arquivo XML lido pelo arquivo Log.cs. Esse arquivo precisa estar na pasta /bin com a DLL construída. O arquivo permite que você configure o seguinte:

  • Filtrar por IP: você pode filtrar a captura de dados por IP do cliente. Dessa forma, você só pode registrar solicitações de um cliente conhecido por reproduzir o problema. Isso reduz o tamanho do log.

  • Tipo de captura: isso especifica onde salvar o arquivo. O padrão é a pasta Temporary ASP.NET Files, mas você pode salvá-lo em qualquer lugar, desde que a conta do processo de trabalho tenha a capacidade de gravar na pasta.

Observe que fornecerei um link de download para o código fornecido no arquivo FormsAuthLogger.zip.

Vou apontar as áreas de main aqui:

1. Crie uma classe que implemente a interface IHttpModule.

   public class FormsAuthEvents : IHttpModule 
   {
   …code…
   }

2. Conecte o evento que você deseja examinar. Neste exemplo, estamos usando o evento Application_BeginRequest. Dessa forma, podemos investigar cada solicitação e determinar se ela tem o cookie de autenticação de formulários e registrar o FormsAuthenticationTicket se o cookie estiver lá.

   public void Init(HttpApplication application) 
   {
   //Wire up the BeginRequest event
   application.BeginRequest += (new EventHandler(this.Application_BeginRequest));
   }

3. Implemente o evento Application_BeginRequest.

   private void Application_BeginRequest(Object source, EventArgs e)
   {
      …code to log the ticket…
   }
   

4. Recupere o cookie de autenticação de formulários e descriptografe-o.

5. Registre os valores. Eu recomendaria registrar o seguinte, além das informações de formulários. Isso ajudará você a alinhar suas informações de autenticação de formulários nos logs do IIS, se necessário:

   • Data: permite que você veja quando a solicitação entrou.

   • RequestType: mostra se a solicitação é um Get ou um Post.

   • URL: mostra o padrão de solicitações que levam ao problema.

   • Referrer

   • ClientIP: vincula as solicitações a um cliente específico.