使用HttpModule实现基于角色的身份验证

 使用HttpModule实现基于角色的身份验证

       最近使用HttpModule实现了一个基于角色的身份验证。我将我的代码贴出，欢迎大家批评指正。程序是以用asp.net 2.0实现的。关于HttpModule的介绍网上有很多的资料，我这里就不介绍了：）

首先，建立一个cs文件：AuthenticateModule.cs。在里面建一个类：AuthenticateModule，这个类实现IHttpModule接口。VS会自动为你添加IHttpModule接口的两个方法：（虽然同样的功能也可以在Globe.asax中实现，但是放到Globe.asax文件中以后，它会和网站程序一起编译。以后如果这个身份验证的模块需要维护，也会使网站程序重新编译。而把身份验证模块单独编译成一个dll文件，则不存在这个问题。而且这个dll文件以后可以在不同的程序中使用）

public void Dispose()和public void Init(HttpApplication context)

在Init方法中添加以下代码：

context.PreRequestHandlerExecute += new EventHandler(context_PreRequestHandlerExecute);

为什么要在PreRequestHandlerExecute事件中进行处理呢，因为我需要将用户身份的信息存放在Session中，比如：用户名，用户的角色（使用字符串标明，比如：Administrator，Operator等）。而Session只有在AcquireRequestState事件之后才可以使用。而PreRequestHandlerExecute事件是在AcquireRequestState事件之后发生的。参见：

http://msdn.microsoft.com/library/default.asp?url=/library/en-us/cpguide/html/cpconhandlingpublicevents.asp

以下是验证的方法：

 

void context_PreRequestHandlerExecute(object sender, EventArgs e)
        ...{            
            HttpApplication application = (HttpApplication)sender;            
            HttpContext context = application.Context;
            /**//*
取得一个实现了IMemeberManage接口的实例
IMemeberManage是一个自定义的接口，主要实现的功能是判断用户
请求的页面是否是他所在的角色所允许访问的。
            */
            IMemeberManage im = MemberManagementLoader.GetInstance();
            

            string relativeUrl = context.Request.Url.AbsolutePath.Replace("/PacificAdmin", "~");

            //仅对aspx类型的请求进行判断
            if (context.Request.Url.AbsolutePath.EndsWith(".aspx"))
            ...{
                /**//*
Session[“userInfo”]为空，表明用户尚未登录
或是登录后Seesion失效，将页面导航到登录页面；同时将用户请求的页面记录到名为redirectPath的QueryString中，在用户进行身份验证后，会自动地导航到该页面
*/
                if (context.Session["userInfo"] == null)
                ...{
                    /**//*
                        判断请求的页面是否为“不受保护的页面”
                        “不受保护的页面”是无须身份验证即可访问的页面。比如：
                        登录页面，错误页面等
                    */
                    if (!im.IsNonprotectedPage(relativeUrl))
                        context.Response.Redirect("~/Login.aspx?redirectPath=" + context.Request.Url.AbsolutePath);
                }
                else
                ...{
                    /**//*
从Session中取出用户的信息，这个信息记录在一个名为UserInfo的结构体中，在这里取出
                    */
                    string role = ((UserInfo)context.Session["userInfo"]).Role;
                    //判断这个角色是否存在
                    if (!im.IsRoleExist(role))
                    ...{
                        //如果这个角色已不存在，销毁Session，并要求用户重新登录
                        HttpContext.Current.Session.Abandon();             HttpContext.Current.Response.Redirect(ConfigurationManager.AppSettings["loginPage"]);
                    }
                    else
                    ...{
                        /**//*
                            这个角色存在的情况下
                        */
                        if (!im.IsNonprotectedPage(relativeUrl))
                        ...{
                            /**//*
                                判断用户是否有权访问
                            */
                            if (!im.IsAuthorized(role, relativeUrl))
                            ...{
                                //无权访问，将用户导航到登录页面                                context.Response.Redirect(ConfigurationManager.AppSettings["RefuseAccessPage"] + "?redirectPath=" + context.Request.UrlReferrer);
                            }
                        }
                    }
                }
            }
        }