ASP.NET Forms驗(yàn)證(自定義、角色提供程序)_.Net教程

教程Tag：暫無(wú)Tag,歡迎添加,賺取U幣!

以前開(kāi)發(fā)項(xiàng)目時(shí)經(jīng)常是自己開(kāi)發(fā)一套用戶(hù)權(quán)限管理系統(tǒng)進(jìn)行驗(yàn)證，比較靈活。最近為了單點(diǎn)登錄的問(wèn)題又把Asp.Net自帶的驗(yàn)證方式看了一遍，發(fā)現(xiàn)這種方式也比較方便，功能也還可以。在Asp.Net提供了三種常用的驗(yàn)證方式：Windows方式是和IIS結(jié)合起來(lái)可以實(shí)現(xiàn)基本、摘要、集成 Windows等身份驗(yàn)證；Passport方式是使用Windows Live ID的帳戶(hù)來(lái)進(jìn)行統(tǒng)一驗(yàn)證的；Forms方式是使用常見(jiàn)的表單來(lái)實(shí)現(xiàn)驗(yàn)證。

本文主要就是討論Forms驗(yàn)證方式普通實(shí)現(xiàn)、自定義實(shí)現(xiàn)、自定義角色提供程序、如何單點(diǎn)登錄(可和MOSS結(jié)合)等幾個(gè)方面。

一、普通實(shí)現(xiàn)方式

這種方式是最簡(jiǎn)單的，只需要配置一下就可以了。

1、執(zhí)行aspnet_regsql命令建立數(shù)據(jù)庫(kù)

aspnet_regsql命令在C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727目錄下，按提示運(yùn)行就可以了

2、新建一個(gè)web網(wǎng)站

在Web.Config中加入配置：

主要就是指定Forms驗(yàn)證使用的數(shù)據(jù)庫(kù)，如果不指定數(shù)據(jù)庫(kù)會(huì)使用本機(jī)默認(rèn)的aspnetdb 數(shù)據(jù)庫(kù)。

deny users="?"表示不允許匿名用戶(hù)訪問(wèn)，也就是說(shuō)當(dāng)匿名用戶(hù)訪問(wèn)時(shí)自動(dòng)跳轉(zhuǎn)到下面配置的login.aspx頁(yè)面。
至于authorization和authentication節(jié)的其他屬性可以參考MSDN，里面有很詳細(xì)的介紹。

3、在網(wǎng)站里創(chuàng)建Default.aspx和Login.aspx頁(yè)面

在Login.aspx頁(yè)面里面放入Login和CreateUserWizard控件(因?yàn)槲覀冃陆ǖ膸?kù)中一個(gè)用戶(hù)也沒(méi)有，CreateUserWizard控件只是用來(lái)建立測(cè)試用戶(hù)的，建好用戶(hù)后可以把這個(gè)控件刪除)
在Default.aspx頁(yè)面中隨便放入一些內(nèi)容。

當(dāng)我們?cè)L問(wèn)Default.aspx時(shí)就會(huì)自動(dòng)轉(zhuǎn)入Login.aspx進(jìn)行驗(yàn)證了。

二、自定義實(shí)現(xiàn)方式

采用第一種方式時(shí)會(huì)要求建立一個(gè)數(shù)據(jù)庫(kù)，很多表，可能并不符合我們自己的業(yè)務(wù)要求。可以使用以下的自定義方式

1、利用Login控件的Authenticate事件

這個(gè)事件就是用來(lái)進(jìn)行驗(yàn)證的，可以通過(guò)指定true值表示驗(yàn)證通過(guò)：

protected void Login1_Authenticate(object sender, AuthenticateEventArgs e)

{

//判斷用戶(hù)名密碼是否正確

//

e.Authenticated = true;

}

2、完全拋開(kāi)Login等控件，自己寫(xiě)代碼

其實(shí)Login控件的核心主要也就是往Cookie里面放入一些值，那么我們可以在自己的代碼中來(lái)進(jìn)行這個(gè)操作：

protected void Button1_Click(object sender, EventArgs e)
{
//判斷用戶(hù)名密碼是否正確
//.
FormsAuthentication.SetAuthCookie(userName, false);
if (Context.Request["ReturnUrl"] != null)
{
Response.Redirect(Context.Request["ReturnUrl"]);
}
else
{
Response.Redirect(FormsAuthentication.DefaultUrl);
}
}

采用以上兩種方式就不用建立默認(rèn)的數(shù)據(jù)庫(kù)了，直接使用我們的邏輯進(jìn)行驗(yàn)證操作

三、自定義角色提供程序

以上說(shuō)的都是用戶(hù)級(jí)別的驗(yàn)證，在有的情況下需要根據(jù)角色來(lái)進(jìn)行驗(yàn)證，比如指定某個(gè)目錄或某個(gè)aspx文件只能讓哪幾個(gè)角色的用戶(hù)訪問(wèn)，根據(jù)角色來(lái)控制的話比較方便靈活。

1、在登錄驗(yàn)證的時(shí)候把角色信息也保存到Cookie中去：

protected void Button1_Click(object sender, EventArgs e)

{

//判斷用戶(hù)名密碼是否正確

//

.

//得到用戶(hù)的角色，測(cè)試時(shí)暫時(shí)寫(xiě)死

string userRoles = "Admins,testst";

FormsAuthenticationTicket Ticket = new FormsAuthenticationTicket(1, user, DateTime.Now, DateTime.Now.AddMinutes(30), false, userRoles, "/");

string HashTicket = FormsAuthentication.Encrypt(Ticket);

//把角色信息保存到Cookie中去

HttpCookie UserCookie = new HttpCookie(FormsAuthentication.FormsCookieName, HashTicket);

Response.Cookies.Add(UserCookie);

if (Context.Request["ReturnUrl"] != null)

{

Response.Redirect(Context.Request["ReturnUrl"]);

}

else

{

Response.Redirect(FormsAuthentication.DefaultUrl);

}

把角色信息加密成特定的格式保存。

2、自定義角色提供程序

如果要按照角色進(jìn)行驗(yàn)證的話，肯定要涉及到角色提供程序，在默認(rèn)情況下也是會(huì)去連接默認(rèn)的數(shù)據(jù)庫(kù)的，我們可以自己寫(xiě)一個(gè)角色提供程序來(lái)實(shí)現(xiàn)自己的邏輯。
首先在web.config中加入配置：

這個(gè)就是指定我們的角色提供類(lèi)MyRoleProvider。

這個(gè)類(lèi)必須從System.Web.Security.RoleProvider繼承，只要重載實(shí)現(xiàn)一個(gè)方法就可以了(其他方法返回異常)：

public override string[] GetRolesForUser(string username)

{

FormsIdentity Id = HttpContext.Current.User.Identity as FormsIdentity;

if (Id != null)

{

return Id.Ticket.UserData.Split(new Char[] { ',' });

}

return null;

}

也就是從我們之前保存到Cookie中的值取得用戶(hù)角色(FormsAuthentication會(huì)自動(dòng)把保存的cookie轉(zhuǎn)化成User內(nèi)的值)

之后我們就可以在web.config中配置角色驗(yàn)證規(guī)則了：

或者也可以在代碼中判斷：

bool a = User.IsInRole("testt");

判斷起來(lái)還是很方便的。

四、單點(diǎn)登錄

使用Forms的單點(diǎn)登錄主要是通過(guò)machineKey的配置，machineKey 元素對(duì)密鑰進(jìn)行配置，以便將其用于對(duì) Forms 身份驗(yàn)證 Cookie 數(shù)據(jù)和視圖狀態(tài)數(shù)據(jù)進(jìn)行加密和解密，并將其用于對(duì)進(jìn)程外會(huì)話狀態(tài)標(biāo)識(shí)進(jìn)行驗(yàn)證

使用這種方式的單點(diǎn)登錄目前只能實(shí)現(xiàn)相同主機(jī)或相同子域站點(diǎn)之間的同步登錄，比如www.cnblogs.com和firstyi.cnblogs.com可以實(shí)現(xiàn)，但是www.cnblogs.com和www.sina.com.cn就不能實(shí)現(xiàn)了，對(duì)于非同一父域名下的域名間不能跨站登錄

主要配置如下：

</authentication>

要實(shí)現(xiàn)單點(diǎn)登錄的多個(gè)web站點(diǎn)的machineKey必須一樣，forms里面的name和domain也必須一樣

這樣配置好之后，在其中一個(gè)站點(diǎn)登錄后再調(diào)轉(zhuǎn)到另一個(gè)站點(diǎn)就不需要再次登錄了。

注：如果MOSS網(wǎng)站采用Forms驗(yàn)證方式的話，只要把MOSS站點(diǎn)的對(duì)應(yīng)配置改成和自己的Asp.Net站點(diǎn)一致，那么可以從自己的站點(diǎn)直接進(jìn)入MOSS站點(diǎn)，也不需要重新登錄(MOSS站點(diǎn)和自己的站點(diǎn)要有相同的用戶(hù)名)

其他：

Forms驗(yàn)證之后可以使用以下方法退出登錄：

FormsAuthentication.SignOut();

另外這些登錄的后臺(tái)Module是配置在C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\CONFIG\web.config文件中的：

附：

分享：ASP.NET緩存：方法分析和實(shí)踐示例
盡早緩存；經(jīng)常緩存您應(yīng)該在應(yīng)用程序的每一層都實(shí)現(xiàn)緩存。向數(shù)據(jù)層、業(yè)務(wù)邏輯層、UI 或輸出層添加緩存支持。內(nèi)存現(xiàn)在非常便宜 — 因此，通過(guò)以智能的方式在整個(gè)應(yīng)用程序中實(shí)現(xiàn)緩存，可以