ASP.NET Forms验证（自定义、角色提供程序）B

以前开发项目时经常是自己开发一套用户权限管理系统进行验证，比较灵活。最近为了单点登录的问题又把Asp.Net自带的验证方式看了一遍，发现这种方式也比较方便，功能也还可以。在Asp.Net提供了三种常用的验证方式：Windows方式是和IIS结合起来可以实现基本、摘要、集成 Windows等身份验证；Passport方式是使用Windows Live ID的帐户来进行统一验证的；Forms方式是使用常见的表单来实现验证。 dedecms.com

本文主要就是讨论Forms验证方式普通实现、自定义实现、自定义角色提供程序、如何单点登录(可和MOSS结合)等几个方面。

内容来自dedecms

本文来自织梦

这种方式是最简单的，只需要配置一下就可以了。

织梦好，好织梦

1、执行aspnet_regsql命令建立数据库 dedecms.com

aspnet_regsql命令在C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727目录下，按提示运行就可以了

织梦内容管理系统

2、新建一个web网站

dedecms.com

在Web.Config中加入配置：

织梦内容管理系统

  <connectionStrings>
    <add name="MySqlConnection" connectionString="Data Source=dbserver;Initial Catalog=database;user id=userid;password=****;" /> 织梦内容管理系统
  </connectionStrings>

  <system.web>
        <authorization>
            <deny users="?"/> 织梦好，好织梦
        </authorization>
        <authentication mode="Forms">
            <forms loginUrl="login.aspx" name=".ASPXAUTH"/>

copyright dedecms

        </authentication>

    <membership defaultProvider="SqlProvider">
      <providers>

copyright dedecms

        <clear />
        <add connectionStringName="MySqlConnection" applicationName="MyApplication"
          enablePasswordRetrieval="false" enablePasswordReset="true" requiresQuestionAndAnswer="true" 织梦好，好织梦
          requiresUniqueEmail="true" passwordFormat="Hashed" name="SqlProvider"
          type="System.Web.Security.SqlMembershipProvider" />
      </providers> 织梦好，好织梦
    </membership>

  </system.web>

copyright dedecms

主要就是指定Forms验证使用的数据库，如果不指定数据库会使用本机默认的aspnetdb 数据库。 本文来自织梦

deny users="?"表示不允许匿名用户访问，也就是说当匿名用户访问时自动跳转到下面配置的login.aspx页面。
至于authorization和authentication节的其他属性可以参考MSDN，里面有很详细的介绍。

本文来自织梦

3、在网站里创建Default.aspx和Login.aspx页面 织梦好，好织梦

在Login.aspx页面里面放入Login和CreateUserWizard控件(因为我们新建的库中一个用户也没有，CreateUserWizard控件只是用来建立测试用户的，建好用户后可以把这个控件删除)
在Default.aspx页面中随便放入一些内容。 织梦好，好织梦

当我们访问Default.aspx时就会自动转入Login.aspx进行验证了。 本文来自织梦

copyright dedecms

采用第一种方式时会要求建立一个数据库，很多表，可能并不符合我们自己的业务要求。可以使用以下的自定义方式 dedecms.com

1、利用Login控件的Authenticate事件

dedecms.com

这个事件就是用来进行验证的，可以通过指定true值表示验证通过： 织梦好，好织梦

    protected void Login1_Authenticate(object sender, AuthenticateEventArgs e)
    {

内容来自dedecms

        //判断用户名密码是否正确
        //
        e.Authenticated = true;
    }

2、完全抛开Login等控件，自己写代码

本文来自织梦

其实Login控件的核心主要也就是往Cookie里面放入一些值，那么我们可以在自己的代码中来进行这个操作： 织梦好，好织梦

    protected void Button1_Click(object sender, EventArgs e)
    { 内容来自dedecms
        //判断用户名密码是否正确
        //.
        FormsAuthentication.SetAuthCookie(userName, false);
        if (Context.Request["ReturnUrl"] != null) 本文来自织梦
        { copyright dedecms
            Response.Redirect(Context.Request["ReturnUrl"]);
        }
        else
        { dedecms.com
            Response.Redirect(FormsAuthentication.DefaultUrl);
        }
    }
本文来自织梦

采用以上两种方式就不用建立默认的数据库了，直接使用我们的逻辑进行验证操作

dedecms.com

织梦内容管理系统

以上说的都是用户级别的验证，在有的情况下需要根据角色来进行验证，比如指定某个目录或某个aspx文件只能让哪几个角色的用户访问，根据角色来控制的话比较方便灵活。 织梦好，好织梦

1、在登录验证的时候把角色信息也保存到Cookie中去：

织梦内容管理系统

    protected void Button1_Click(object sender, EventArgs e)
    { 内容来自dedecms
        //判断用户名密码是否正确
        //.

        //得到用户的角色，测试时暂时写死
        string userRoles = "Admins,testst";  织梦好，好织梦
        FormsAuthenticationTicket Ticket = new FormsAuthenticationTicket(1, user, DateTime.Now, DateTime.Now.AddMinutes(30), false, userRoles, "/");
        string HashTicket = FormsAuthentication.Encrypt(Ticket); 

dedecms.com

        //把角色信息保存到Cookie中去
        HttpCookie UserCookie = new HttpCookie(FormsAuthentication.FormsCookieName, HashTicket);
        Response.Cookies.Add(UserCookie);
织梦内容管理系统
        if (Context.Request["ReturnUrl"] != null)
        { dedecms.com
            Response.Redirect(Context.Request["ReturnUrl"]);
        }
        else
        { 内容来自dedecms
            Response.Redirect(FormsAuthentication.DefaultUrl);
        }
    }

把角色信息加密成特定的格式保存。 织梦好，好织梦

2、自定义角色提供程序 织梦内容管理系统

如果要按照角色进行验证的话，肯定要涉及到角色提供程序，在默认情况下也是会去连接默认的数据库的，我们可以自己写一个角色提供程序来实现自己的逻辑。
首先在web.config中加入配置：

dedecms.com

Code
    <roleManager defaultProvider="MyRoleProvider"
      enabled="true"
      cacheRolesInCookie="true"
      cookieName=".ASPROLES"

织梦好，好织梦

      cookieTimeout="30"
      cookiePath="/"
      cookieRequireSSL="false"
      cookieSlidingExpiration="true"
      cookieProtection="All" > 本文来自织梦
      <providers>
        <clear />
        <add name="MyRoleProvider"
          type="MyRoleProvider"

织梦内容管理系统

          writeExceptionsToEventLog="false" />
      </providers>
    </roleManager>

这个就是指定我们的角色提供类MyRoleProvider。 本文来自织梦

这个类必须从System.Web.Security.RoleProvider继承，只要重载实现一个方法就可以了(其他方法返回异常)： 本文来自织梦

织梦好，好织梦

    public override string[] GetRolesForUser(string username)
    {

织梦内容管理系统

        FormsIdentity Id = HttpContext.Current.User.Identity as FormsIdentity;
        if (Id != null)
        { dedecms.com
            return Id.Ticket.UserData.Split(new Char[] { ',' }); 内容来自dedecms
        }
        return null;
    }

也就是从我们之前保存到Cookie中的值取得用户角色(FormsAuthentication会自动把保存的cookie转化成User内的值)

之后我们就可以在web.config中配置角色验证规则了：
织梦好，好织梦

  <location path="admin">
    <system.web>
      <authorization>
        <allow roles="Admins"/> 本文来自织梦
        <deny users="*"/>
      </authorization>
    </system.web>
  </location>

或者也可以在代码中判断： 本文来自织梦
copyright dedecms

bool a = User.IsInRole("testt");

判断起来还是很方便的。 织梦内容管理系统

dedecms.com

使用Forms的单点登录主要是通过machineKey的配置，machineKey 元素对密钥进行配置，以便将其用于对 Forms 身份验证 Cookie 数据和视图状态数据进行加密和解密， dedecms.com

使用这种方式的单点登录目前只能实现相同主机或相同子域站点之间的同步登录，比如www.cnblogs.com和firstyi.cnblogs.com可以实现，但是www.cnblogs.com和www.sina.com.cn就不能实现了，对于非同一父域名下的域名间不能跨站登录 内容来自dedecms

主要配置如下：

织梦好，好织梦

  <machineKey validationKey="282487E295028E59B8F411ACB689CCD6F39DDD21E6055A3EE480424315994760ADF21B580D8587DB675FA02F79167413044E25309CCCDB647174D5B3D0DD9141" decryptionKey="8B6697227CBCA902B1A0925D40FAA00B353F2DF4359D2099" validation="SHA1"/>
  <authentication mode="Forms"> 织梦内容管理系统
      <forms loginUrl="login.aspx" name=".ASPXAUTH1" domain=".cnblogs.com" />
  </authentication>

要实现单点登录的多个web站点的machineKey必须一样，forms里面的name和domain也必须一样

织梦好，好织梦

这样配置好之后，在其中一个站点登录后再调转到另一个站点就不需要再次登录了。

copyright dedecms

注：

织梦好，好织梦

Forms验证之后可以使用以下方法退出登录： 织梦好，好织梦

FormsAuthentication.SignOut(); 

另外这些登录的后台Module是配置在C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\CONFIG\web.config文件中的：
copyright dedecms

      <add name="WindowsAuthentication" type="System.Web.Security.WindowsAuthenticationModule"/>
      <add name="FormsAuthentication" type="System.Web.Security.FormsAuthenticationModule"/>

本文来自织梦

      <add name="PassportAuthentication" type="System.Web.Security.PassportAuthenticationModule"/>

附：

本文来自织梦

最后的web.config文件
<?xml version="1.0"?>
<configuration xmlns="http://schemas.microsoft.com/.NetConfiguration/v2.0">
  <system.web>
        <authorization> 内容来自dedecms
            <deny users="?"/>
        </authorization>
        <authentication mode="Forms"> 内容来自dedecms
      <forms loginUrl="login.aspx" name=".ASPXAUTH1" domain=".cnblogs.com" />
    </authentication>
    <machineKey validationKey="F9A61F796A204D9945889B64D9DA5086E89CEC5200F0CED4" decryptionKey="D679BCF2A76DEBB04D7FED5E5967F46C92FEF2B31AD5D7C9" validation="SHA1" />

dedecms.com

    <compilation debug="true"/>
    
    <roleManager defaultProvider="MyRoleProvider"
      enabled="true"

copyright dedecms

      cacheRolesInCookie="true"
      cookieName=".ASPROLES"
      cookieTimeout="30"
      cookiePath="/"
      cookieRequireSSL="false" 织梦内容管理系统
      cookieSlidingExpiration="true"
      cookieProtection="All" >
      <providers>
        <clear /> 内容来自dedecms
        <add name="MyRoleProvider"
          type="MyRoleProvider"
          writeExceptionsToEventLog="false" />
      </providers> dedecms.com
    </roleManager>

  </system.web>
  <location path="admin">
    <system.web> 织梦内容管理系统
      <authorization>
        <allow roles="Admins"/>
        <deny users="*"/> 内容来自dedecms
      </authorization>
    </system.web>
  </location>
</configuration> 织梦好，好织梦

 

织梦内容管理系统