Tenho um sistema web desenvolvido em ASP.NET MVC 4.
Uma das funcionalidades é o gerenciamento de usuários. Um CRUD
de usuários.
Meu método de login
é o seguinte:
[HttpPost]
public ActionResult Login(LoginViewModel loginViewModel)
{
if (_loginService == null)
_loginService = new LoginService();
var result = _loginService.Login(loginViewModel.User, loginViewModel.Password);
if (!result.Error)
{
var userData = JsonConvert.SerializeObject(result.User);
FormsAuthentication.SetAuthCookie(result.User.Id, false);
var ticket = new FormsAuthenticationTicket(1, result.Id, DateTime.Now, DateTime.Now.AddMinutes(9999), true, userData, FormsAuthentication.FormsCookiePath);
var encryptedCookie = FormsAuthentication.Encrypt(ticket);
var cookie = new HttpCookie(FormsAuthentication.FormsCookieName, encryptedCookie) { Expires = DateTime.Now.AddHours(14) };
Response.Cookies.Add(cookie);
}
return new JsonResult
{
Data = result
};
}
Sim, está em inglês mesmo porque o sistema será mantido por várias empresas.
Enfim, trato o retorno desse método no lado cliente, com javascript.
Como podem imaginar, eu utilizo o atributo [Authorize]
em toda Controller
em que a autenticação é obrigatória.
Vamos supor que eu acabei de logar no sistema com o usuário StackOverflow
. Estou navegando normalmente até que um outro usuário identificado como DoMal
resolve me excluir do sistema. Como eu estou somente excluindo o usuário na ação de Delete
, o usuário StackOverflow
irá navegar normalmente no site mesmo quando for excluido. Até, obviamente, o cookie expirar. O problema é que eu quero alguma maneira de terminar a sessão dele de imediato.
Tem alguma forma de terminar a sessão somente do StackOverflow
no IIS? Ou forçar o cookie a expirar?
A unica coisa que eu não quero fazer é criar uma verificação de existencia do usuário on-line em cada ação feita no site.
Alguma ideia, sugestão?
SignOut
não aceita parâmetros.. eu quero fazer oSignOut
de um usuário que não seja o corrente. Sim, já uso oFormsAuthentication.SetAuthCookie(user, false)
. Quanto a implementação dobeginRequest
é justamente o que eu não quero fazer: Em todarequest
, validar a existencia do usuário no banco.