.. back to home
Asp.net Identity Choose an Identity Management Solution
这个文章主要说了
- 使用 ASP.NET Core Identity 进行基本身份管理
- ASP.NET Core 中内置的默认解决方案使用基于 cookie 的身份验证。
- 确定是否需要 OIDC 服务器
- 如果需要给第三方提供身份认证，或者单点登录则需要
- 断网离线的情况下的选择
- 用户登录数据的存储位置
最后如何选择解决方案：
令牌tokens被盗，可以用来访问资源吗
如果令牌（tokens）被盗，攻击者可能会利用这些令牌来访问与令牌相关联的资源。令牌的安全性是非常关键的，因为它们通常用于身份验证和授权，如果落入不法分子手中，可能导致严重的安全问题。
以下是一些防范措施，以减少令牌被盗用的风险：
-
使用安全传输协议：
通过使用HTTPS（SSL/TLS）等安全传输协议来加密令牌的传输，防止令牌在传输过程中被中间人攻击截获。
-
定期刷新令牌：
使用可刷新的令牌机制，使令牌在一段时间后失效并需要刷新。这有助于减少令牌被长时间滥用的风险。
-
短有效期：
设置令牌的短有效期，以降低被盗用的影响时间。短有效期可以使得即使令牌被盗，攻击者的窗口时间也被限制。
-
使用JWT时注意签名：
如果使用JSON Web Token（JWT），确保使用强大的签名算法，并且只信任已知和受信任的令牌颁发者（Issuer）。
-
安全存储：
令牌的存储应该是安全的。在客户端存储敏感信息（例如浏览器的本地存储）时，使用安全的存储方式，例如HttpOnly cookies。
-
使用多因素身份验证：
在可能的情况下，使用多因素身份验证，增加令牌泄露后的安全性。
-
监控和审计：
实施监控和审计机制，以便检测和响应令牌滥用的情况。这可以包括对异常活动的警报和记录。
-
访问令牌的范围控制：
确保令牌的访问范围最小化，只授予实际需要的权限。
-
令牌撤销机制：
考虑实施令牌的撤销机制，以便在令牌被泄露或滥用时及时失效。
虽然这些措施可以降低令牌被滥用的风险，但没有绝对的安全措施。因此，维护令牌的安全性是一个多层面的过程，需要综合考虑多种因素。