Single Sign On (单点登陆) 以及Session过期问题的解决方案

1.         Single Sign On

目的：多个Web应用有统一的登陆以及一次登陆完成所有Web应用的认证。

原理：利用Form认证，认证后的Cookie，使得参与Web应用的都具有一组相同的用于加密与验证加密的密钥。加密与验证加密的密钥位于 Machine.config 中，修改  <system.web> 节点下的 <machineKey> 节点属性。

应用范围：位于同一服务器上的各个Web应用。

       ---login.aspx

            if(FormsAuthentication.Authenticate(txtUser.Text,txtPassword.Text))

         {

              FormsAuthentication.RedirectFromLoginPage(txtUser.Text,false);

         }

         else if(用户认证)

         {

              Session["UserName"]=txtUser.Text;

              FormsAuthentication.SetAuthCookie(txtUser.Text,false);

              FormsAuthentication.RedirectFromLoginPage(txtUser.Text,false);

         }

         else

              Response.Write("Login Error...");

         }

       --Web.Config配置

       <authenticationmode="Forms">

<formsname="Shmzh.SingleSignOn"protection="Encryption"timeout="60"loginUrl="login.aspx"/>

    </authentication>

     <machineKey

         validationKey="C50B3C89CB21F4F1422FF158A5B42D0E8DB8CB5CDA1742572_487D9401E3400267682B202B746511891C1BAF47F8D25C07F6C39A104696DB51F17C529AD3CABE"

         decryptionKey="8A9BE8FD67AF6979E7D20198CFEA50DD3D3799C77AF2B72F"

         validation="SHA1">

     </machineKey>

     <authorization>

         <denyusers="?"></deny>

     </authorization>

           ---default.aspx

       --Web.Config配置

       <authentication mode="Forms">

       <forms name="Shmzh.SingleSignOn" protection="Encryption" timeout="60" loginUrl="\SSO\Login.aspx" />

    </authentication>   

     <machineKey

         validationKey= "C50B3C89CB21F4F1422FF158A5B42D0E8DB8CB5CDA1742572A487D9401E3400267682B202B746511891C1BAF47F8D25C07F6C39A104696DB51F17C529AD3CABE"

         decryptionKey= "8A9BE8FD67AF6979E7D20198CFEA50DD3D3799C77AF2B72F"

         validation="SHA1">

     </machineKey>

       <authorization>

              <deny users="?"></deny>

       </authorization>

             ---default.aspx

--Web.Config配置，每一个站点的配置同

            ---default.aspx

       --Web.Config配置，每一个站点的配置同

       ---default.aspx

       --Web.Config配置，每一个站点的配置同

      

       Default.aspx中的代码

       if(User.Identity.IsAuthenticated)    //判断是否已经验证

       {

              //用户验证以及初始化Session

              User.Identity.Name 就是登录的用户

       }

2.         Session过期问题

通过设置Session过期时间来完成

a>     IIS中设置过期时间

b>     Web.Config中设置时间

    <sessionStatemode="InProc"cookieless="false" timeout="20/>

实例2：

HttpContext.Current.User.Identity.IsAuthenticated=false;

HttpContext.Current.User.Identity.Name==""

解释：当用户登录时，服务器为确认客户端通过验证要通过cookie向客户端写验证（Authenticat）信息,在登录页面刚验证完成后服务器 还没有把cookie 回发到Client，所以会没有值，当服务器第二次Response的时候，就会从客户端读取Cookie，要想有此Cookie还要在 web.config文件中配置相应的参数

<system.web>
    <authentication mode="Forms">
      <forms domain="bokoAdmin" timeout="20" loginUrl="Login.aspx" path="/"></forms>
    </authentication>

   <authorization>
      <allow users="*"/>
    </authorization>

<system.web>

程序验证：

            if (Membership.ValidateUser(tbx_username.Text.TrimEnd(), tbx_password.Text.TrimEnd()))
            {
               
                FormsAuthentication.SetAuthCookie(tbx_username.Text.TrimEnd(), true,FormsAuthentication.FormsCookiePath);
                FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(
    1, tbx_username.Text, DateTime.Now, DateTime.Now.AddMinutes(20), false, tbx_username.Text);
                // generate new identity
                FormsIdentity identity = new FormsIdentity(ticket);
                HttpCookie cookie = new HttpCookie(FormsAuthentication.FormsCookieName, FormsAuthentication.Encrypt(ticket));
                // write to client.
                Response.Cookies.Add(cookie);
                }

其中加粗体为主要语句，有此一句就可以实现HttpContext.Current.User.Identity.IsAuthenticated=true;