ASP.NET 安全认证（四）：Form 认证的补充

前三篇在 csdn 论坛公布后，效果如同“神仙放屁——果然不同凡（反）响”。为感谢广大网友的热情与支持，这不，经过这一阵子的酝酿、修炼，特意准备了这第四响。

之前我们讲述的使用 form 认证实现单点登录，正如网友所说的那样，只能在同一域名下使用。对于跨域名的单点登录，除了使用 passport 认证外，我们还是可以用 form 认证的，只是要讲究方法而已啦。正所谓“山不转水转，人不转心转”。

一、跨域名的解决思路

在msdn 2003 上搜索关键字“passport”，偶找到一篇“passport 身份验证提供程序”。文章讲述了 passport 的认证原理，共 8 条，我就不多说了，大伙自个看吧。其中有一句话，引起偶的注意：“……响应在查询字符串中包含一个加密的 passport cookie……”。也正是此句才有了下面的思路。

所谓认证的通过与否，其实质就是检测有无发放有效的 cookie ，使用 form 也好，运用 passport 也罢，都是 cookie 在起作用。也就是说，我们只要把有效的 cookie 在登录后一次性发放给客户端就得了。

二、跨域名、跨服务器的单点登录方法

1、  如何在本机模拟跨域名、跨服务器的single sign on

只要浏览网址不同就相当于不同域名，在本机至少有以下三种。它们虽然是同一项目，彼此却不能共用 session与 cookie ，也就无法共享身份验证票：

a). http://localhost/formtest/login.aspx

b). http://127.0.0.1/formtest/login.aspx

c). http://my_computer_name/formtest/login.aspx  //以电脑名称浏览站点

d). http://192.168.0.8/formtest/login.aspx  //以网卡地址浏览站点

e). http://172.meibu.com/formtest/login.aspx  //拥有国际域名

2、  在 asp.net 中如何提交给其它页面

用过viewstate 的大概都知道，viewstate是保存在客户端的。不知大伙注意没有，asp.net 为每张 .aspx 页面都配备了独自的 viewstate，且被解析后都是以一个 name=" __viewstate" 的隐藏控件值来保存viewstate。每次页面提交，服务器都会检查该控件的值有无被篡改，如此一来就注定 .aspx 只能提交给本页。服务器是死的，人是活的，我们不能被这些条条框框限定死了，我们要把程序写成活的。

下面咱们从 http://localhost/formtest/login.aspx 输入用户名与密码，然后提交给http://127.0.0.1/formtest/public/logintransfer.aspx 。login.aspx与logintransfer.aspx都包含用户名输入框一个、密码输入框一个、登录按钮一个。在 login.aspx 页面加入以下代码：

this.btn_login.attributes["onclick"]="singlesignon()"; //指定执行脚本事件

在 login.aspx 页面上插入以下脚本：

<script language="javascript">

         function singlesignon()

          {

//只能用脚本改变指定 form 提交的对象

document.getelementbyid("form1").action="http://127.0.0.1/formtest/public/logintransfer.aspx?fromurl="+window.location.href;

               //把隐藏控件 __viewstate 中的值变更为 logintransfer.aspx 解析后出现的值，以实际看到的值为准

document.all.__viewstate.value = "ddwtmtkyoduzmtmynzs7pv1cp2raxucr5hgyf8ilx9/emky8";

       }

</script>

注意事项

         a).  logintransfer.aspx 出现的控件及其 id ，必须能够在 login.aspx 找到

         b). 控件的 id 必须一致，且能一一对应

c). 关于 __viewstate中的值，它与页面控件id 无关，与浏览该页面的网址无关，目前我只知道和控件的数量、类型、名字空间（namespace formtest.public ）以及存在的 viewstate有关系。大家在测试时，以直接浏览http://127.0.0.1/formtest/public/logintransfer.aspx 后，查看页面源文件所看到的值为准。

d). 提交后，将触发并执行logintransfer.aspx 中的btn_login_click 事件