c# - 如果 HTTP 是无状态的，ASP.NET MVC 如何支持会话？

Question

我使用 viewstate 得到了常规的 ASP finagles statefullness，但 MVC 并没有试图使有状态的大胆谎言永久化。那么它是如何维持会话的呢？

Answer 1

默认情况下，它将随机生成的数字存储在 cookie 中并将其存储在内存中。如果浏览器说它不支持 cookie，asp.net 将改为在 url 中添加会话密钥，它将显示为http://myurl.com/(S(rpfa4y3c5oe2c555ljanprek))/Controller/Action

Answer 2

它使用一个Session ID来识别用户，存储在 Cookies 中。如果您知道受害者的 ID，并且其他安全措施不会干扰（例如基于 IP 的身份验证），则欺骗是可能的。