Un'applicazione ASP.NET 4.0 in un sito ASP.NET 2.0 può utilizzare lo stesso cookie di Autenticazione moduli?

Question

Vedi aggiornamento in basso della domanda

Ho un'applicazione web 2.0 ASP.NET (diciamo https://mysite.somedomain.com/), che utilizza l'autenticazione moduli. Desidero integrare un'app Web ASP.NET 4.0 all'interno di questo sito, basata su https://mysite.somedomain.com/NewApp/. Forms Auth sta lavorando sull'app esterna, ma l'app interna sta rifiutando il cookie.

web.config sul esterno (ASP.NET 2.0) web app contiene:

<httpCookies requireSSL="true"/> 
<authentication mode="Forms"> 
    <forms name="MySiteWebAuth" loginUrl="/Login.aspx" protection="All" 
      path="/" timeout="90" requireSSL="true" slidingExpiration="true"/> 
</authentication> 
<machineKey (same machine key is in both configs) 
    validation="SHA1" 
    decryption="AES"/> 
<authorization> 
    <deny users="?"/> 
    <allow users="*" /> 
</authorization> 

web.config su quello interno (ASP.NET 4.0) web app contiene:

<authentication mode="Forms"> 
    <forms name="MySiteWebAuth" loginUrl="/Login.aspx" protection="All" 
      path="/" timeout="90" requireSSL="true" slidingExpiration="true" 
      ticketCompatibilityMode="Framework20"/> 
</authentication> 
<machineKey (same machine key is in both configs) 
    validation="SHA1" 
    decryption="AES"/> 

Questo è il codice in Login.aspx.cs che imposta il cookie di autenticazione di successo:

FormsAuthenticationTicket ticket = 
    new FormsAuthenticationTicket(
     1, 
     ApplicationContext.User.Identity.Name, 
     DateTime.Now, 
     DateTime.Now.AddMinutes(90), 
     false, 
     ApplicationContext.User.Identity.SessionID.ToString() 
    ); 
HttpCookie cookie = 
    new HttpCookie(
     FormsAuthentication.FormsCookieName, 
     FormsAuthentication.Encrypt(ticket) 
    ); 

cookie.Path = FormsAuthentication.FormsCookiePath; 
cookie.HttpOnly = true; 
Response.Cookies.Add(cookie); 

Se accedo all'applicazione Web esterna, accedi a una pagina all'interno dell'app Web interna, esegue un reindirizzamento alla pagina di accesso e scrive Forms authentication failed for the request. Reason: The ticket supplied was invalid. nel registro eventi sul server.

Come si ottiene il ticket di autenticazione moduli ASP.NET 2.0 da accettare dall'app Web interna di ASP.NET 4.0?

Aggiornamento: Funziona in HTTPS IIS 7.5, ma non in HTTPS IIS 7.0. Facendo qualche altra indagine.

Aggiornamento 2: Abbiamo applicato Server 2008 SP2 al server insieme alla patch recente per il DoS hash-collisione e da allora ha funzionato la condivisione dei cookie.

Answer 1

Suppongo che tu abbia letto questo - http://msdn.microsoft.com/en-us/library/eb0zx8fc.aspx - forse rimuovi l'attributo ticketCompatibilityMode dall'app 4.0 o almeno assicurati che siano uguali.

Answer 2

Oltre a mantenere quasi tutti i valori di cui sopra lo stesso, è necessario impostare l'attributo dell'elemento machineKeycompatibilityMode nel file di configurazione dell'applicazione 4.0:

<machineKey compatibilityMode="Framework20SP2" validationKey="THE_KEY" decryptionKey="ANOTHER_KEY" validation="SHA1" /> 

Answer 3

Aggiungere questo appsetting sia web.config file:

add key = "aspnet: UseLegacyFormsAuthenticationTicketCompatibility" value = "true"

Answer 4

È necessario assicurarsi che entrambe le applicazioni hanno la stessa chiave di crittografia nella file web.config

<machineKey 
     validationKey="C50B3C89CB21F4F1422FF158A5B42D0E8DB8CB5CDA1742572A487D9401E3400267682B202B746511891C1BAF47F8D25C07F6C39A104696DB51F17C529AD3CABE" 
     decryptionKey="8A9BE8FD67AF6979E7D20198CFEA50DD3D3799C77AF2B72F" 
     validation="SHA1" /> 

Forms Authentication Across Applications