ExpireTimeSpan игнорируется после продолжительности регенерации идентификатора / validateInterval в идентичности MVC (2.0.1)

Когда SecurityStampValidator запускает обратный вызов regenerateIdentity, аутентифицированный в настоящее время пользователь повторно входит в систему с непостоянным логином . Это жестко запрограммировано, и я не верю, что есть какой-то способ напрямую контролировать это. Таким образом, сеанс входа в систему будет продолжаться только до конца сеанса браузера, который вы запускаете в тот момент, когда идентичность восстанавливается.

Вот подход, позволяющий сделать вход в систему постоянным даже при операциях регенерации идентификаторов. Это описание основано на использовании шаблонов веб-проектов Visual Studio MVC ASP.NET.

Во-первых, нам нужен способ отследить тот факт, что сеанс входа в систему является постоянным для отдельных HTTP-запросов. Это можно сделать, добавив утверждение «IsPersistent» к личности пользователя. Следующие методы расширения показывают способ сделать это.

public static class ClaimsIdentityExtensions
{
    private const string PersistentLoginClaimType = "PersistentLogin";

    public static bool GetIsPersistent(this System.Security.Claims.ClaimsIdentity identity)
    {
        return identity.Claims.FirstOrDefault(c => c.Type == PersistentLoginClaimType) != null;
    }

    public static void SetIsPersistent(this System.Security.Claims.ClaimsIdentity identity, bool isPersistent)
    {
        var claim = identity.Claims.FirstOrDefault(c => c.Type == PersistentLoginClaimType);
        if (isPersistent)
        {
            if (claim == null)
            {
                identity.AddClaim(new System.Security.Claims.Claim(PersistentLoginClaimType, Boolean.TrueString));
            }
        }
        else if (claim != null)
        {
            identity.RemoveClaim(claim);
        }
    }
}

Далее нам нужно сделать утверждение «IsPersistent», когда пользователь подписывает запрос на постоянный сеанс. Например, ваш класс ApplicationUser может иметь метод GenerateUserIdentityAsync, который можно обновить, чтобы он принимал параметр флага isPersistent следующим образом, чтобы при необходимости выдвигать такое утверждение:

public async Task<ClaimsIdentity> GenerateUserIdentityAsync(UserManager<ApplicationUser> manager, bool isPersistent)
{
    var userIdentity = await manager.CreateIdentityAsync(this, DefaultAuthenticationTypes.ApplicationCookie);
    userIdentity.SetIsPersistent(isPersistent);
    return userIdentity;
}

Любые вызывающие из ApplicationUser.GenerateUserIdentityAsync теперь нужно будет передать флаг isPersistent. Например, вызов GenerateUserIdentityAsync в AccountController.SignInAsync изменится с

AuthenticationManager.SignIn(new AuthenticationProperties() { IsPersistent = isPersistent }, 
    await user.GenerateUserIdentityAsync(UserManager));

на

AuthenticationManager.SignIn(new AuthenticationProperties() { IsPersistent = isPersistent },
    await user.GenerateUserIdentityAsync(UserManager, isPersistent));

Наконец, делегат CookieAuthenticationProvider.OnValidateIdentity, используемый в методе Startup.ConfigureAuth, нуждается в некоторое внимание, чтобы сохранить детали персистентности в операциях регенерации идентичности. Делегат по умолчанию выглядит следующим образом:

OnValidateIdentity = SecurityStampValidator.OnValidateIdentity<ApplicationUserManager, ApplicationUser>(
    validateInterval: TimeSpan.FromMinutes(20),
    regenerateIdentity: (manager, user) => user.GenerateUserIdentityAsync(manager))

Это можно изменить на:

OnValidateIdentity = async (context) =>
{
    await SecurityStampValidator.OnValidateIdentity<ApplicationUserManager, ApplicationUser>(
        validateInterval: TimeSpan.FromMinutes(20),
        // Note that if identity is regenerated in the same HTTP request as a logoff attempt,
        // the logoff attempt will have no effect and the user will remain logged in.
        // See https://aspnetidentity.codeplex.com/workitem/1962
        regenerateIdentity: (manager, user) =>
            user.GenerateUserIdentityAsync(manager, context.Identity.GetIsPersistent())
    )(context);

    // If identity was regenerated by the stamp validator,
    // AuthenticationResponseGrant.Properties.IsPersistent will default to false, leading
    // to a non-persistent login session. If the validated identity made a claim of being
    // persistent, set the IsPersistent flag to true so the application cookie won't expire
    // at the end of the browser session.
    var newResponseGrant = context.OwinContext.Authentication.AuthenticationResponseGrant;
    if (newResponseGrant != null)
    {
        newResponseGrant.Properties.IsPersistent = context.Identity.GetIsPersistent();
    }
}