浅谈ASP.NET的权限管理和用户验证

网站建设中，会碰到最常用的用户管理及操作权限设置验证，虽然这是很常见的一个管理操作，但要做得完善很不容易。最近参考了许多.net方面的书，特别关心这方面的，并结合自己特点，摸索了一下适合自己的用户管理方法，完成了基本管理类库。
　　
　　用户的管理方法，在设计时采取“用户——角色——许可”三级，这是windows操作系统的用户管理方法。一个用户可以有多个角色，一个角色也可以有多个许可。
　　
　　所以有数据库设计时分别设计：
　　
　　用户表：设userid、用户名、用户信息
　　角色表：设roleid、categoryid、rolename、description
　　用户角色表：userid、roleid
　　
　　分类表：categoryid、categoryname、description
　　许可表：permissionid、categoryid、permissionname、description
　　角色许可表：roleid、permissionid
　　
　　设计好数据库后，即可以从事设计用户、角色、许可的类。类库分数据层类，完成建立、查询、删除、更新等操作。业务层的类，需要实现与数据无关功能，建立如用户拥有角色、许可的列表，验证方式等。
　　
　　在业务层有一很重要的方法，即是用.net的验证方式来实现，因此建立二个类：
　　
　　一是 siteidentity 类，它继承自业务层基类，并采用system.security.principal.iidentity接口。该类主要存放用户的基本信息，包括用户名、email及id号、密码。它的方法较简单，通过验证后，把用户的基本信息。
　　
　　二是 helloseaprincipal 类，它也继承业务基类，采用system.security.principal.iprincipal接口。该类的主要方法有验证类，并把验证后的用户信息、用户角色列表、许可列表存储到类中。该类中有二个方法和一个property是iidentity接口必须的，即isinrole、haspermission，和system.security.principal.iidentity identity。
　　
　　设计完成类库后，即可以用来验证用户了。比如在管理登录页面中，需要判断用户的密码是否正确，并判断用户是否有许可进入管理页面。
　　
　　下面是验证中的一段：
　　
　　helloseaprincipal admin = helloseaprincipal.validatelogin(txtadminname.text,　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 txtpassword.text);

　　　　　　if (admin == null)　　　　　　{

　　　　　　　　labinfo.text = "没有该管理员帐号，或输入密码不正确。";

　　　　　　}　　　　　　else if ( !admin.haspermission(1) )　　　　　　{　

　　　　　　　labinfo.text = "您并不是管理角色并且没有管理许可，不能进入本系统。";

　　　　　　}　　　　　　else　　　　　　{

　　　　　　　　context.user = admin;

　　　　　　　　formsauthentication.setauthcookie(txtadminname.text, true);

　　　　　　　　response.redirect("adminindex.aspx");

　　　　　　}