ASP.NET安全身份验证的实现
2024-07-10 12:55:55
供稿：网友
.net平台及其asp+所提供的强大开发功能是每个程序员所不能忽视的，对某种语言的偏好不该影响选择最具效率的开发工具。 而目前，asp+确实提供了许多jsp所无法比拟的功能。
使用asp+，你会真正感到使用语言的自由性，编程时在网页上可看到编译asp+页中c#等语言时的全部编译信息，而且使用asp+提供的数十种功能强大的服务器端控件，几乎可以实现以前客户端rad开发工具所能实现的全部功能，asp+可以直接方便地使用.net中的xml技术，使用几个简单的函数就可以用xml替代一些数据库或和其他程序交换信息。
对于未来，将有越来越多的语言支持asp+的开发，而富士通美国子公司已经推出了cobol for .net，让cobol也可以开发asp+应用程序了。惟一遗憾的是，asp+目前还不能跑在除windows系列的其他平台上，但这正是.net正在做的事。
基于上述优点，越来越多的web应用将会使用asp+方式开发，在具体实现如电子商务等应用时，必须重视各种安全性问题，此问题涉及操作系统、网络管理及程序安全等众多方面，限于篇幅，本文将介绍如何用asp+的配置和程序实现安全身份验证。
asp+的相关配置
asp+的配置方法较特别，它使用config.web这个xml类型的文件来存储配置信息，你可用notepad或xml编辑器方便地修改其内容，规定的设置方式是子目录继承或者覆盖从父目录得来的配置设定，就是说在root目录下放了个config.web文件，那么任何下一级目录将自动继承这个文件中的配置，假如某个子目录需要另外的配置时，我们可再另建一个config.web放在该子目录下。这种配置管理方式对安装你的应用程序、配置的修改及安全管理都极为有利。
asp+提供了三种主要的身份验证方式即：windows、cookie和passport，windows是指使用windows自身的安全管理方式，你可通过设置windows的用户及iis等权限来保障安全，对于一些大应用，使用此方法将非常复杂和烦琐。passport方式较为方便和安全，用户只用一个用户名和密码可以访问任何成员站，并且在注销离开时，所有passport相关的信息都会清除，你可以在公共场所放心地使用它，相信passport比较适合internet的应用。在企业级应用中，使用cookie方式和ssl、ip限制等一些网管技术同样可以实现一定的安全性。
下面介绍一下cookie的配置：
你需建一个如下内容的config.web,并将它放在c:/inetpub/wwwroot/（iis缺省目录）下，对于系统安装时已经建立的config.web，一般在/winnt/microsoft.net/framework/v...目录下。
＜configuration＞
＜security＞
＜authentication mode="cookie"＞
＜cookie decryptionkey="autogenerate" loginurl="/login.aspx" cookie=".aspxauth" /＞
＜/authentication＞
＜authorization＞
＜deny users="?" /＞
＜/authorization＞
＜/security＞
＜/configuration＞
该配置文件声明用cookie方式验证，在你访问该目录及其子目录下的aspx文件时，如果你没有认证的cookie，它就会重定向到login.aspx。如果你需要一个不需要身份认证的目录（可放用户申请的程序）则可建一个如下的config.web并放在该目录下：
＜configuration＞
＜security＞
＜authorization＞
＜allow users="*" /＞
＜/authorization＞
＜/security＞
＜/configuration＞
程序设计
你需在root目录下建立default.aspx和login.aspx这两个asp+程序。
login.aspx程序内容如下：
＜%@ import namespace="system.web.security" %＞
＜%@ import namespace="system.data" %＞
＜%@ import namespace="system.data.ado" %＞
＜html＞
＜head＞
＜title＞login＜/title＞
＜script language="c#" runat=server debug="true" ＞
void login_click(object sender, eventargs e) {
if(page.isvalid)
{ adodatareader dr;
// 连接数据库，用户名和密码放在odbc连接的数据库qcdb中的表users中
adoconnection cn = new adoconnection("dsn=qcdb");
cn.open();
adocommand cmdquestion = new adocommand("select password from users where name = "" + yourname.text + """, cn);
//选择相应用户信息
cmdquestion.execute(out dr);
//建一个datareader得到sql结果
if(dr.read()) //得到对应的第一个行数据
if(dr["password"].tostring() == password.text)
cookieauthentication.redirectfromloginpage(yourname.text, abidingcookie.checked);
else //上面语句生成一个cookie，如用户选择abidingcookie，则永久保存cookie
msg.text = "密码错误";
else
msg.text = "用户名不存在";
}
}
＜/script＞
＜/head＞＜center＞＜body＞
＜asp:label id="msg" forecolor="red" font-name="verdana";
font-size="18" runat=server /＞
＜form runat=server＞
＜table＞＜tr＞＜td＞＜asp:label text="用户名: " runat=server/＞＜/td＞
＜td＞＜asp:textbox id="yourname" runat=server /＞＜/td＞
＜/tr＞＜tr＞＜td＞＜asp:label text="密码：" runat=server/＞＜/td＞
＜td＞＜asp:textbox id="password" textmode="password" runat=server /＞＜/td＞
＜td＞＜asp:button id="btnlogin" text="确定" onclick="login_click" runat=server /＞＜/td＞
＜td＞ ＜/td＞＜/tr＞＜tr＞＜td＞希望下次不用输入密码＜/td＞
＜td＞＜asp:checkbox id=abidingcookie runat="server" /＞ ＜/td＞
＜td＞＜/td＞＜/tr＞＜/td＞＜td＞＜/td＞＜/tr＞＜/table＞
＜/form＞＜/td＞ ＜td width="283" height="1" bgcolor="#f0f0f0"＞＜/td＞
＜/tr＞＜/table＞＜/center＞＜/div＞＜p＞＜/p＞＜/body＞
＜/html＞
default.aspx程序内容如下：
＜%@ page language="c#" %＞
＜html＞＜head＞＜title＞欢迎来到.net的世界＜/title＞
＜script runat=server＞
private void page_load(object src, eventargs e )
{ welcome.innerhtml = "祝贺你通过身份验证" + context.user.identity.name;
} private void signout_click(object sender, eventargs e)
{ cookieauthentication.signout();
//按下signout按键清除原cookie
response.redirect("login.aspx");
//让用户重输入新用户名、密码
}
＜/script＞＜body＞＜center＞
＜h3＞＜font face="verdana"＞.net身份验证系统提示你＜/font＞＜/h3＞
＜span id="welcome" runat=server/＞＜form runat=server＞
＜input type="submit" onserverclick= "signout_click" value="取消该登录身份" runat="server"/＞＜p＞
＜/form＞＜p＞＜a href="/adduser/"＞进入管理室＜/a＞＜/p＞＜/center＞＜/body＞＜/html＞
具体执行时，当一个未经认证的用户浏览你的网站的.aspx文件时(注意，cookie认证只对.aspx文件起作用)，系统发现该用户没cookie，于是将它重定向到login.aspx，当用户输入正确的用户名和密码后，系统为该用户生成一个cookie并立刻自动重定向到一开始该用户要浏览的.aspx文件并执行它，缺省的则定向到default.aspx，上面提供的default.aspx则提示你已经通过身份认证。
总结
由于我们使用了session跟踪应用程序访问或会话期间特定的web浏览器信息，带有相应的 cookie 的http请求被认为是来自同一web浏览器，所以要防止被人使用sniffer等方法非法截获cookie信息，你需要考虑使用ssl或其他安全的通讯链路加密方法。
对于上述程序，你可以方便地在table中加入用户ip地址的信息，来验证intranet用户。由于cookie就像一个身份证，为防止有人非法使用你的cookie，应该让cookie随着浏览器的关闭一起清除。
总之，使用cookie的身份验证方法再结合各种加密手段以及操作系统完善的安全配置就可以为大多数需要安全认证的应用提供足够的支持。中国最大的web开发资源网站及技术社区，
