ASP.NET Internet安全Forms身份验证方法

复制代码 代码如下:

<configuration>
<system.web>
<authentication mode="Forms">
<forms loginUrl="Login.aspx" protection="All" timeout="30" path="http://www.vevb.com/" />
</authentication>
<authorization>
<deny users="?" /> <!—拒绝匿名 -->
</authorization>
......
</system.web>
<location path="Admin"><!—配置授权,只允许拥有Admins角色的用户访问这个目录下的文件（＊.ａｓｐｘ）-->
<system.web>
<authorization>
<allow roles="Admins"/><!—虽然下面配置为拒绝所有用户,但是allow的优先级比deny高.-->
<deny users="*" /><!—拒绝所有用户 -->
<!—
一个用户或角色必须特别指定为拒绝,才能拒绝该用户或角色对URL的权限.如果上面的示例没有指定<deny users="*" />元素,则将允许所有通过身份验证的用户访问所请求的 URL,而不考虑其所属的角色.
-->
</authorization>
</system.web>
</location>
</configuration>

上面代码又调用了AuthorizationConfigRule::IsUserAllowed方法,截图如下:

ASP.NET2.0你仍可以用这样的机制,但又增加新特性.下面就看看在ASP.NET2.0中是如何实现的吧!

ASP.NET 2.0 实现方式

l         应用程序配置新增属性

<system.web>

 <authentication mode="Forms">

       //defaultUrl是ASP.NET2.0版本新增的属性, 在验证模型重定向URL时将重定向到的URL.默认值为"default.aspx".

//虽然ASP.NET1.1版本没有该属性,但程序中的默认为"default.aspx".还是ASP.NET2.0的配置更为灵活.

    <forms loginUrl="logon.aspx" protection="All" path="http://www.vevb.com/" defaultUrl="Index.aspx"></forms>

 </authentication>

 <authorization>

    <deny users="?" />/*匿名用户*/

 </authorization>

</system.web>

l         使用成员资格验证登录

l         使用角色管理进行访问授权

1.         启用角色管理

<roleManager enabled="true" cacheRolesInCookie="true" />

cacheRolesInCookie

推荐代码:

if(Membership.ValidateUser(username, password)){

 Roles.DeleteCookie();

 FormsAuthentication.RedirectFromLoginPage(username, false);

}

2.         配置成员与角色

在安全选项卡内有管理用户与角色的内容,如下图:

本示例创建了一个用户”iori”与一个角色”Admins”,并且指定了该用户是Admins角色的成员.

另外该工具还会自动创建本地数据库(如果还没创建).与它相关的配置在machine.config文件中指定,如下图所示,你可以更改数据库的文件名,默认为”aspnetdb.mdf”.

l         ASP.NET 2.0 安全模型验证授权的原理

1.          验证原理

2.         授权原理

.,RolePrincipal对象.

,代表安全模块已建立了用户标识,所以在这个事件中使用用户标识重新生成RolePrincipal对象.

下面为委托代码的节选.

......//省略若干代码

HttpApplication application = (HttpApplication) source;

HttpContext context = application.Context;

if (this._eventHandler != null)

{

     RoleManagerEventArgs e = new RoleManagerEventArgs(context);

     this._eventHandler(this, e);

     if (e.RolesPopulated)

     {      

              /*

        void RoleManager_GetRoles(object sender, RoleManagerEventArgs e)

        {

            if (e.Context.Request.IsAuthenticated)

            {

(e.Context.User.Identity.Name), new string[] { "Admins" });

                e.RolesPopulated = true;

            }

        }

              */

              return;

     }

}

......

if (!(context.User is RolePrincipal))

{

     context.User = new RolePrincipal(context.User.Identity);

}

Thread.CurrentPrincipal = context.User;

被触发.