Programmgesteuertes Abmelden eines ASP.NET-Benutzers

Question

Mit meiner App kann ein Administrator Benutzerkonten sperren/entsperren. Ich tue dies mit dem folgenden Code:

MembershipUser user = Membership.GetUser(Guid.Parse(userId)); 
user.IsApproved = false; 
Membership.UpdateUser(user); 

Die oben genannten Arbeiten in Ordnung, den Benutzer zu sperren, aber es wird nicht widerrufen ihre Sitzung. Folglich kann der gesperrte Benutzer mit Zugriff auf die Anwendung verbleiben, solange sein Sitzungscookie verbleibt. Any fix/

Answer 1

Überprüfen Sie auf einer allgemeinen Seite, ob das Konto gültig ist, und rufen Sie Session.Abandon() auf, wenn es widerrufen wurde.

bearbeiten (Just bemerkte dies noch offen war.)

Ich weiß, das funktioniert, weil ich es tun.

Überprüfen Sie auf der Masterseite den Kontostatus. Das bedeutet auf jeder Navigation Sie haben die Möglichkeit, sie auszuloggen.

(Final) bearbeiten

Sie denken es nicht als „ich ihre Sitzung am endet,“ denken Sie an sie als „ihre Sitzung beendet sich.“

Answer 2

Bei der Verwendung von Formularauthentifizierung:

FormsAuthentication.SignOut(); 

Answer 3

Es gibt keine Möglichkeit, eine Sitzung von ‚außen‘ die Sitzung zu verlassen. Sie müssten die Datenbank bei jedem Laden der Seite überprüfen, und wenn das Konto deaktiviert wurde, dann melden Sie sich ab. Sie könnten dies auch mit einem HttpModule erreichen, was die Dinge etwas sauberer machen würde.

Zum Beispiel:

public class UserCheckModule : IHttpModule 
{ 
    public void Init(HttpApplication context) 
    { 
     context.PreRequestHandlerExecute += new EventHandler(OnPreRequestHandlerExecute); 
    } 

    public void Dispose() {} 

    private void OnPreRequestHandlerExecute(object sender, EventArgs e) 
    { 
     // Get the user (though the method below is probably incorrect) 
     // The basic idea is to get the user record using a user key 
     // stored in the session (such as the user id). 
     MembershipUser user = Membership.GetUser(Guid.Parse(HttpContext.Current.Session["guid"])); 

     // Ensure user is valid 
     if (!user.IsApproved) 
     { 
      HttpContext.Current.Session.Abandon(); 
      FormsAuthentication.SignOut(); 
      HttpContext.Current.Response.Redirect("~/Login.aspx?AccountDisabled"); 
     } 
    } 
} 

Dies ist kein vollständiges Beispiel, und das Verfahren zur Bestimmung der Benutzer das Abrufen eines Schlüssels in der Sitzung angepasst werden müssen gespeichert ist, aber das sollte Ihnen den Einstieg. Bei jedem Laden der Seite wird eine zusätzliche Datenbankprüfung durchgeführt, um zu überprüfen, ob das Benutzerkonto noch aktiv ist. Es gibt jedoch keine andere Möglichkeit, diese Informationen zu überprüfen.

Answer 4

Wenn Sie einen Benutzer abmelden, ist es auch eine gute Idee, die FormsAuthenticationTicket zu überschreiben.

HttpContext context = HttpContext.Current; 

//overwrite the authentication cookie 
FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(1, context.User.Identity.Name, DateTime.Now, DateTime.Now.AddDays(-1), false, Guid.NewGuid().ToString()); 
string encrypted_ticket = FormsAuthentication.Encrypt(ticket); 

HttpCookie cookie = new HttpCookie(FormsAuthentication.FormsCookieName, encrypted_ticket); 
cookie.Expires = ticket.Expiration; 
context.Response.Cookies.Add(cookie); 

//clear all the sessions 
context.Session.Abandon(); 

//sign out and go to the login page 
FormsAuthentication.SignOut(); 
FormsAuthentication.RedirectToLoginPage();