ASP.NET 2.0的会员、角色及配置问题的探讨

　　在本文中，我们将主要探讨asp.net 2.0的会员、角色和配置问题。asp.net中的会员系统提供了一个可编程api用于创建和管理用户账户，而其中的角色部分使开发者能够定义一组角色并把用户与角色相关联。典型地，一个提供用户账户的网站都具有只为某些用户、认证用户或属于特定角色的用户所存取的内容部分。

　　例如，一个web站点可能有一组页面-它允许一个信任用户编辑该web站点的内容或管理已有用户。不是简单地试图隐藏这个页面并且希望没有人偶然在浏览它时遇到麻烦，或硬编码授权而仅允许单个用户；一种更为强壮和安全的方式是定义一个管理员角色-然后赋给他一组选出来的信任用户。然后，这些管理web页面被进一步配置以允许仅对那些具有管理员角色的用户可以存取。同样，该web站点可能包含一组只有认证用户可以存取的页面。

　　既然该站点的某些部分可能只能为某些用户所存取，那么，这就使得我们在站点导航时有点进退两难。我们是否要包括那些只有授权用户才能在web站点的站点地图中存取的页面？如果我们这样做了，那么所有的用户将会在该站点的菜单或树视图中看到受限制的页面。为什么不能向存取它们的用户显示指向这些页面的链接呢？如果我们从站点地图上删除了这些受限制的页面，那么那些来观看这些页面的授权用户就无法容易地导航到它们，因为它们不是站点地图的一部分，并因此不会出现在该站点的树视图或菜单中！

　　值得庆幸的是，asp.net 2.0的站点导航提供了一种称为安全性修剪的特性。当用支持安全性修剪的功能获得站点地图信息时，只有那些当前登录的用户具有访问授权的站点地图结点才是可用的。这意味着，站点的treeview或menu将仅包含为当前登录用户可存取的那些部分。要想了解怎样配置站点导航以支持安全性修剪，请接着往下读！

　　二、 配置asp.net 2.0的会员和（可选）角色

　　既然站点导航安全性修剪把站点地图数据基于访问页面的用户和为站点地图中的页面定义的授权设置，那么在我们可以分析安全性修剪之前，你必须首先配置你的web站点以使用asp.net 2.0的会员服务功能。(你也可以配置该站点来使用角色，并使用基于角色的授权优点，但是这对于展示安全性修剪概念并不作要求。)至于详细讨论怎样配置一站点以使用会员和角色已经超出了本文的范围。

　　在本文最后的下载中包括一个可用实例-它实现为一个web站点安全地修剪站点地图。该站点实现了会员和角色。如果你不想在一个新的web站点上花费时间来安装会员和角色特性的话，你可以使用它。具体地说，在本文后面可下载的web站点中包含两个角色-管理员（administrator）和测试员（tester），并有四个用户：

　　·superman，其角色为管理员和测试者
　　·admin，其角色为管理员
　　·mr.tester，其角色为测试者
　　·average user，没有任何角色

　　而且，我在该工程中有三个文件夹：admin，tester和authusersonly。前两个文件夹已经被配置仅允许具有管理员和测试者角色的用户存取。authusersonly文件夹被限制仅用于认证的用户。

三、 配置站点导航以使用安全性修剪

　　默认地，站点导航并不使用安全性修剪。不管什么用户正在访问站点，并且不管定义什么样的授权规则，当每个用户通过一treeview或菜单web控件来观看站点地图数据时，他都被可以看到站点地图中的所有部分。通过启动安全性修剪，站点导航系统将自动地基于当前登录的用户和为站点地图中的＜sitemapnode＞元素所参考的页面的授权而限制显示结果。

　　可以使用下列模式通过web.config文件来配置站点导航设置：

＜sitemap defaultprovider="xmlsitemapprovider" enabled="true"＞
＜providers＞
＜add name="xmlsitemapprovider"
　　description="default sitemap provider."
　　type="system.web.xmlsitemapprovider"
　　sitemapfile="sitemapfilename"
　　securitytrimmingenabled="true" /＞
＜/providers＞
＜/sitemap＞

　　回想一下在本系列第一部分中的讨论-站点导航系统使用了提供者模型。这个模型提供给开发者一些良好定义的公共api，但是允许（如果需要的话）定制内部实现细节。缺省地，站点导航特点使用xmlsitemapprovider-它从xml格式化的站点地图文件web.sitemap中获得站点地图信息。你可以通过web.config文件来改变所使用的提供者，或修改针对缺省提供者的缺省设置。

　　为了定制缺省提供者的设置，只要简单地添加一新的提供者-它使用与缺省提供者(system.web.xmlsitemapprovider)相同的类型来定制所需要的设置。上面显示的代码片段展示了定制两个xmlsitemapprovider的设置：

　　·sitemapfile设置指定由提供者所使用的站点地图文件的文件名；缺省地，这个值是web.sitemap。你如果喜欢，可以在此定制文件名。但是，我鼓励你确保站点地图文件名以.sitemap扩展名结尾，因为缺省地这个扩展名被asp.net引擎保护，从而阻止web访问者观看站点地图文件。

　　·securitytrimmingenabled设置显示是否使用安全性修剪。为了使用安全性修剪，可以把它设置为true，如上面所示。

　　就是这些！仅需作此改变，站点导航系统就会根据当前登录的用户和为在＜sitemapnode＞元素中的url定义的授权设置非常聪明地返回正确的部分。下列屏幕快照显示了当分别在匿名访问者（还没有登录的）、普通用户以及admin用户访问时的treeview的显示情况。该匿名访问者仅能看到两个链接-home和 my blog。普通用户能看到另外的一个链接-auth users，而匿名访问者是看不到它的，因为这个结点的url(/~/authusers/default.aspx)被配置为仅允许认证用户观看。admin用户还能看到另外其它链接，因为他是管理员角色并且为admin站点地图结点(~/admin/default.aspx)所指向的url被配置仅允许由管理员存取。

四、 用角色属性阻止安全性修剪

　　可能有一些时候-你想要显式地通知安全性修剪不要为一个特别的角色或一组角色修剪一个站点地图部分。例如，如果你的站点地图包含一个到外部资源的链接，那么该站点导航系统不可能针对这个远程资源确定授权规则。因此，它为所有的用户修剪该结点。也就是说，如果你启动了安全性修剪功能并且在用一外部链接(如＜sitemapnode url="http://www.scottonwriting.net/sowblog/" title="my blog"/＞)使用一个站点地图，那么，没有用户会在treeview或menu控件中看到这些。然而，你可能想要让该站点导航系统为那些具有administrator和tester角色的用户显示这一结点。(或不考虑任何用户的角色。)

　　同样，即使他们没有被授权存取该资源，你也可能想向这些用户显示一个局部站点地图结点。例如，一访问该站点却还没有登录的用户肯定不会看到在treeview中的admin链接。然而，我们仍可能想显示之。点击它将会使用户被导航到~/admin/default.aspx页面，此时，系统将看到他们没有被认证。这将把他们引导到登录页面。在登录后，他们将被自动地引导回admin页面。如果他们不是管理员角色，他们将被送回到登录页面，否则他们将被同意存取admin部分。

　　为了不修剪针对一个特定的站点地图结点的特别角色，可以使用在相应的＜sitemapnode＞元素中的角色属性。(注意：这一设置不会应用到descendent＜sitemapnode＞元素；也就是说，对那些显式地指定另外的应该看到该结点的角色，你必须显式地在每一个＜sitemapnode＞元素上设置这一属性)。此角色属性能包含一个角色名，一个用逗号间隔列表的角色名字，或一个星号(*)来表示所有的用户。包含在本文末尾的下载文件中的下列站点地图文件显示出怎样使用角色属性来使得所有的用户拥有一个外部的站点地图结点参考。（可以联想到，当启动安全性修剪功能时，如果在此忽略角色属性，这将导致不向任何用户显示这个站点地图结点。)>

＜sitemap xmlns="http://schemas.microsoft.com/aspnet/sitemap-file-1.0" ＞
＜sitemapnode url="~/default.aspx" title="home"＞
＜sitemapnode url="~/about.aspx" title="about" /＞
＜sitemapnode url="~/admin/default.aspx" title="admins" /＞
＜sitemapnode url="~/tester/default.aspx" title="tester" /＞
＜sitemapnode url="~/authusers/default.aspx" title="auth users only" /＞
＜!-- for links to outside resources, need to explicitly define what
roles should be shown this section --＞
＜sitemapnode url="http://www.scottonwriting.net/sowblog/" title="my blog"
roles="*" /＞
＜/sitemapnode＞
＜/sitemap＞

　　该角色属性还可以用于在安全性修剪功能性上增加一些性能改进。在启动了安全性修剪功能后，站点导航提供者为所有的定义在站点地图中的结点自动地检查授权规则。对于那些你想要向所有的用户显示的结点，通过添加roles="*"，你可以绕过这一检查，如上例中所示。通过添加这个属性，你会短路正常的授权检查，从而改进安全性修剪性能。

　　五、 结论

　　除了提供站点导航支持外，asp.net 2.0还使得构建包括用户帐户支持和基于角色的授权的web站点非常容易。随之而来的并不令人感到惊奇-这两个系统可以互操作并且提供一个站点地图-其返回内容是基于当前登录的用户和定义在站点地图中的url的授权设置。配置站点导航以限制基于访问用户和授权设置的结果就象把一些代码添加web.config文件一样地容易。