ASP.NET で自動的に発行されるクッキーの名前を変更する方法 - しばやん雑記
今日はちょっとした ASP.NET のクッキーに関する小ネタです。 ASP.NET は特別な設定などをしなくても自動的にクッキーを発行して、認証状態やセッション、そして CSRF 対策を行ってくれます。これは非常に便利なんですが、その時に発行されるクッキーの名前が割とイケてないので、変更する方法をまとめておきます。 フォーム認証クッキー FormsAuthentication.SetAuthCookie を呼び出した時に発行されるクッキーです。 デフォルトの名前は ".ASPXAUTH" なので、結構見たことある人は多いと思います。設定は Web.config の forms 要素にある name 属性を指定して行います。 <system.web> <authentication mode="Forms"> <forms name="auth" timeout="2880" /> </au
ASP.NET のセキュリティ - ASP.NET アプリケーションを保護する
残念ながら、データ バインド構文にはまだエンコード構文が組み込まれていません。次のバージョンの ASP.NET には <%#: %> として組み込まれる予定です。それまでは、次の構文を使用してください。 <%# Server.HtmlEncode(Eval("PropertyName")) %> 使用するコントロールを知るのは重要です。データを HTML でエンコードするコントロールと、エンコードしないコントロールについて確認するようにしてください。たとえば、TextBox コントロールは表示される出力を HTML でエンコードしますが、LiteralControl はエンコードしません。これは重要な区別です。以下のテキストが代入されるテキスト ボックスについて考えてみましょう。 yourTextBoxControl.Text = "Test <script>alert('bip')</s
ASP.NETのセッション固定対策 - 2010-04-24 - T.Teradaの日記
本日は、ASP.NETでログイン機能をつくる際のセッション固定対策について書きます。 ログイン状態の管理には、ASP.NETが提供するセッション機構（ASP.NET_SessionId Cookie）を使っているとします。 ASP.NETでのセッション再生成 ログイン機能のセッション固定対策は、ログイン時に新たなセッションを開始することです。既存のセッションがなければ新たにセッションを開始し、既存のセッションがあるならばそのセッションは再生成されなければなりません。 しかし、ASP.NETはセッションを再生成する方法を提供していません。 それはJavaも同じなのですが、TomcatだとHttpSession#invalidateでセッションを無効化することで、セッションを再生成することができます*1。 ASP.NETでも普通に考えると、Session.Abandonという同等のメソッドを利
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Blog - Mikula Beutl - SEO Consulting
