Как отследить просроченные куки-файлы WIF fedauth?

Вы не можете этого сделать, не ведя серверный список недавно отозванных токенов. Вот почему обычно мы полагаемся на неотъемлемое истечение срока действия, а также на HTTPS, чтобы предотвратить утечку / кражу токена.

Мне была поручена аналогичная просьба от нашей службы безопасности. Я решил сохранить идентификатор сеанса asp.net в файле cookie OWIN, и для каждого запроса, содержащего идентификатор сеанса в файле cookie, я проверяю, что он соответствует идентификатору активного сеанса.

Сохранить идентификатор сеанса в файле cookie (адаптировано из этого ответа) в конце первого запроса, который прошел проверку подлинности и не уже есть идентификатор сеанса в cookie:

protected override void OnActionExecuted(ActionExecutedContext filterContext)
    { 
        base.OnActionExecuted(filterContext);

        bool authenticated = User.Identity.IsAuthenticated;

        var sessionGuid = (User as ClaimsPrincipal).FindFirst("sessionID")?.Value;

        //put the SessionID into the cookie.
        if (authenticated && string.IsNullOrEmpty(sessionGuid))
        {
            var id= Session.SessionID;

            //update the guid claim to track with the session
            var authenticationManager = HttpContext.GetOwinContext().Authentication;

            // create a new identity from the old one
            var identity = new ClaimsIdentity(User.Identity);

            // update claim value
            identity.RemoveClaim(identity.FindFirst("sessionID"));
            identity.AddClaim(new Claim("sessionID", id));

            // tell the authentication manager to use this new identity
            authenticationManager.AuthenticationResponseGrant =
                new AuthenticationResponseGrant(
                    new ClaimsPrincipal(identity),
                    new AuthenticationProperties { IsPersistent = true }
                );
        }
    } 

Затем при каждом следующем запросе, если я найду сеанс в файле cookie, сравните его с активным сеансом. Если они не совпадают, выйдите из системы:

protected override void OnActionExecuting( ActionExecutingContext filterContext)
    {
        var claim = (User as ClaimsPrincipal).FindFirst("sessionID")?.Value;

        //does the owin cookie have a sessionID?
        if (!string.IsNullOrEmpty(claim))
        {
            string session = Session.SessionID;

            //does it match the one stored in the session?
            if(session != claim)
            {
                //no? log the user out again..
                Session.Abandon();

                //redirect to logged out page
                this.Request.GetOwinContext().Authentication.SignOut();

                //tell them its over..
                Response.Write("Expired Session");

                Response.End();
            }
        }

        base.OnActionExecuting(filterContext);
    }