var user = UserManager.Find(...);

ClaimsIdentity identity = UserManager.CreateIdentity(
          user, DefaultAuthenticationTypes.ApplicationCookie );


var claim1 = new Claim(
          ClaimType = ClaimTypes.Country, ClaimValue = "Arctica", UserId = user.Id );
identity.AddClaim(claim1);

AuthenticationManager.SignIn(
          new AuthenticationProperties { IsPersistent = true }, identity );

var claim2 = new Claim(
          ClaimType = ClaimTypes.Country, ClaimValue = "Antartica", UserId = user.Id );
identity.AddClaim(claim2);

claim1 和 claim2 仅在ClaimsIdentity 用户登录 时跨请求持久保存。换句话说，当用户通过调用 SignOut()注销时，两个声明也会被删除，因此下次该用户 < strong="">登录，它不再是这两个声明的成员(我假设两个声明不再存在)

claim2 在请求中持续存在的事实(即使 authentication cookie 在 claim2 被添加到用户时已经创建)表明claims 不会通过authentication cookie 在请求中保留，而是通过其他方式保留。

那么 claims 如何跨请求持久化？

编辑:

1) 据我所知，类型声明 IdentityUserClaim 从未在 < strong="">cookie?

var user = UserManager.Find(...);

/* claim1 won't get persisted in a cookie */
var claim1 = new IdentityUserClaim
      { ClaimType = ClaimTypes.Country, ClaimValue = "Arctica", UserId = user.Id };
user.Claims.Add(claim1);


ClaimsIdentity identity = UserManager.CreateIdentity(
      user, DefaultAuthenticationTypes.ApplicationCookie );


AuthenticationManager.SignIn(
      new AuthenticationProperties { IsPersistent = true }, identity );

如果我的假设是正确的，这就是为什么 IdentityUserClaim 实例没有保存在 cookie 中的原因，因为假设这些声明应该存储在 DB 中，因此可以在 后续请求 中从 DB 中检索，而 claims of type Claim 通常不存储在 DB 中，因此为什么需要将它们保存在 cookie 中？

2)

If you'd like to have a deeper look how it all works, check out the source code of Katana Project

我认为 Asp.net Identity 2 不是Katana 项目 的一部分(也就是说，我看到有人问微软什么时候会发布源代码对于 Asp.Net Identity，即使 Katana 源代码 已经可用)？!

谢谢

最佳答案

好问题。甚至让我做了一个小实验。

这一行:

AuthenticationManager.SignIn(
          new AuthenticationProperties { IsPersistent = true }, identity );

不设置 cookie。仅为以后的回调设置 Identity 对象。

只有当控制传递给中间件和一些 OWIN 内部方法称为 Response.OnSendingHeaders 时才会设置 Cookie。

所以您的代码只是在存储在内存中供以后用户使用的identity 对象上添加claim2。理论上，您甚至可以在完成 AuthenticationManager.SignIn 之后设置 claim1。无论如何它都会保留在 cookie 中。

如果您尝试在 Controller 中添加这样的 cliam:

    public ActionResult AddNonPersistedClaim()
    {
        var identity = (ClaimsIdentity)ClaimsPrincipal.Current.Identity;
        identity.AddClaim(new Claim("Hello", "World"));

        return RedirectToAction("SomeAction");
    }

此声明不会设置在 cookie 中，您将不会在下一个请求中看到它。

如果您想更深入地了解它是如何工作的，请查看 Katana Project 的源代码，查看 Microsoft.Owin.Security 和 Microsoft.Owin.Security.Cookies 项目。连同 Microsoft.Owin.Net45 项目中的 AuthenticationManager。

更新

回答您的编辑 1 - IdentityUserClaim 确实持久保存到数据库中，这是您可以将持久声明分配给用户的方式。您通过 UserManager

await userManager.AddClaimAsync(userId, new Claim("ClaimType", "ClaimValue"));

这会在您的数据库表中创建代表 IdentityUserClaim 的记录。下次用户登录时，这些声明将从数据库中读取并添加到身份中，并通过属性 .Claims 或方法 在 ClaimsIdentity.Current 上可用>.HasClaim().

IdentityUserClaim 不执行任何其他操作 - 只是将 Claim 对象序列化到数据库中的方法。您通常不会直接访问这些，除非您想“赤手空拳”并在 UserManager 之外自己写入该表。

换句话说 - 身份不设置 cookie。 OWIN 创建 cookie。看看this piece of code :

    public async Task SignInAsync(IAuthenticationManager authenticationManager, ApplicationUser applicationUser, bool isPersistent)
    {
        authenticationManager.SignOut(
            DefaultAuthenticationTypes.ExternalCookie,
            DefaultAuthenticationTypes.ApplicationCookie,
            DefaultAuthenticationTypes.TwoFactorCookie,
            DefaultAuthenticationTypes.TwoFactorRememberBrowserCookie,
            DefaultAuthenticationTypes.ExternalBearer);

        var identity = await this.CreateIdentityAsync(applicationUser, DefaultAuthenticationTypes.ApplicationCookie);
        identity.AddClaim(new Claim(ClaimTypes.Email, applicationUser.Email));

        authenticationManager.SignIn(new AuthenticationProperties() { IsPersistent = isPersistent }, identity);
    }

此处身份验证管理器是 OWIN 的一部分。 Identity 是 System.Security.Claims 的一部分。所有属于 Identity 项目的都是 CreateIdentityAsync 方法 - 基本上是将用户从数据库转换为 ClaimsIdentity 以及所有持久化的角色和声明。

回答您的编辑 2:您是对的，AspNet Identity 不是 Katana 项目的一部分，但 Identity 使用 OWIN(Katana 的一部分)进行 cookie 处理和授权。 Identity 项目主要处理用户/角色/声明持久性和用户管理，例如锁定、用户创建、发送带密码重置的电子邮件、2FA 等。

令我惊讶的是 ClaimsPrincipal连同 ClaimsIdentity和 Claim是在 OWIN 或 Identity 之外可用的 .Net 框架的一部分。这些不仅在 Asp.Net 中使用，而且在 Windows 应用程序中使用。好在 .Net 现在有开源，你可以浏览所有这些——让你更好地理解它们是如何协同工作的。此外，如果您正在进行单元测试，了解内部结构是非常宝贵的，因此您可以在不使用模拟的情况下去除所有功能。

关于c# - 跨请求持久声明，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/25292137/