MVC安全：打破固定会话

       最近项目空窗期，所以相对有时间来对之前做的一些项目做一个总结，今天记录的内容是关于mvc登录后固定会话打破的知识点，当然这方面在做项目是也在网上找了相关资料总结、取舍，如果有更多的方式，也欢迎分享。

1、在webconfig中配置登录过期时间

注：a、name自定义，每个项目的最好有自己唯一的name；b、timeout的单位是分钟；

2、通过登录时注册session和加密cookie，使用过滤器验证，退出是注销相应session和cookie值的方式处理

具体处理步骤如下

• 在登录成功后的代码加入如下内容

注：TipConstMsg为项目中定义的提示帮助类（常量类），记录提示字符串，此处提示内容如下

• 接下来在App_Start文件下新建一个类，名称为AuthenticateUser，它继承了FilterAttribute类和IAuthorizationFilter接口，并在类中重写OnAuthorization方法，对session和cookie进行验证。

注：a、需要导入命名空间System.Web.Mvc；b、此方法是验证失败返回登录页面（也可进行其他的处理）

• 在需要验证的控制器上加上AuthenticateUser修饰

在系统的退出方法中注销session和cookie的值

注：此方法中的AspSessionId具体内容如下

完毕！！