Fundering angående säkerhet

Jag använder mig alltid av sessions, mest beroende på att jag inte hört talas om några andra sätt. :)

Vad ser du för anledning till att inte använda sessions?

Jag tänker mig att det finns något inbyggt säkerhetsobjekt med fiffiga finesser som man kan ge olika värden...
Om man dessutom har cookies avstängt är det inte speciellt roligt, därför tänkte jag att detta objektet automatiskt skulle kontrollera detta och sedan sätta cookieless för sessionen och sköta verifieringen på det viset.. men men..

Jag använder FormsAuthentication vid inloggning, fungerar utmärkt kolla på https://www.iboyspyportal.com för att se ett exempel hur de används.

Jag har ett litet problem med formsauhentication

1. Jag vill veta efter hur många minuters inaktivitet den timar ut och vad i global.asax jag kan sätta kod som körs när den timar ut.

2. Den skyddar inte .jpg, .txt, .gif, .asp går det att skydda andra filtyper än aspx med det.

Någon som har mer koll ?

1:

<authentication mode="Forms">
      <forms name=".ASPXAUTH" protection="All" timeout="30" />
</authentication>

Läs gärna mer här: http://msdn.microsoft.com/library/default.asp?url=/library/en-us/cpgenref/html/gngrfforms.asp

2:
Jag tror du får ställa in det i IIS:en, läs mer här:
http://www.dotnetcoders.com/web/Articles/ShowArticle.aspx?article=43

Det går ju att skydda alla slags filer om du lägger dom under wwwrooten

Problemet jag har är att när jag använder protection="All" så skyddarn den endast de aspx filer som ligger i samma katalog som jag anger i webconfig. Så har jag ett virtual d. som heter test som pekar mot c:\inetpub\myapp\ och under denna har jag en katalog som heter \bin\images\ alltså "c:\inetpub\myapp\ \bin\images\" . Då skyddas inte filerna i images katalogen.

Jag skulle kunna lösa det med att accessionera alla filtyper med aspx i "Internet Services Manager" och "Add/Edit Application Extension Mapping", men ligger siten på ett webhotell är jag tveksam på om de tillåter detta.

Jag tänkte att man i web.config borde ha möjligheten att ange fler kataloger som ska skyddas och inte bara rootkatalogen, men kan man göra det och isåfall hur. Finns det något annat sätt att lösa det på är jag tacksam för alla förslag.

du kan ju göra så här för att skydda kataloger

<location path="katalog/">
		<system.web>
			<authorization>
				<deny users="*" />
			</authorization>
		</system.web>
	</location>

Men jag tror inte att det skyddar html och bilder

Det var ju det jag skrev ovan andreas

ok.
Försökte svara på det här

Jag tänkte att man i web.config borde ha möjligheten att ange fler kataloger som ska skyddas och inte bara rootkatalogen, men kan man göra det och isåfall hur

då kan du göra så här
<location path="katalog/katalog1">

Ok Andreas.
Kan man ange att man ska skydda låt oss säga 10 olika subfolders till applikationen ? Om jag har 10 olika kataloger under applikationensroot som jag vill skydda med samma authentication.