Form身份验证基本原理

精选转载

jiangtianwuchen 2015-01-29 09:51:46 博主文章分类：Web开发

先说说Form身份验证思路：

假设用户要浏览需要权限的页面，此时，安全机制先启动，检查当前用户请求是否持有用户票据的Cookie

如此Cookie存在：解析Cookie中的票据信息，获得用户角色，创建用户标识

否则：认为用户无权浏览该页面，跳转至登入页面，登入成功后重定向到所请求页面^-^

解释下我的文件目录：

-> Admin文件(该文件目录下内容用户必登入且角色为"Admin"才可浏览)

-> Admin.aspx

-> User.aspx(该文件只要登入可浏览)

-> Login.aspx(用户登入页面，未登入可浏览)

-> Global.asax

-> web.config

1.web.config文件

[xhtml] view plain copy

<configuration>
<location path="Admin">
<system.web>
<authorization>
<deny users="?" roles="User"/>
<!--
<allow roles="Admin"/>
<deny users="?"/>
原先这样配置但导致角色"User"也可以访问，不知为何？
-->
</authorization>
</system.web>
</location>
<system.web>
<!--
通过 <authentication> 节可以配置 ASP.NET 用来
识别进入用户的
安全身份验证模式。
-->
<authentication mode="Forms">
<forms loginUrl="Login.aspx" defaultUrl="User.aspx" name=".LoginFormsTicket" path="/" timeout="40" protection="All">
<credentials passwordFormat="Clear">
<user name="lulu" password="66"/>
</credentials>
</forms>
</authentication>
<authorization>
<deny users="?"/>
</authorization>
</system.web>
</configuration>

再补充下对Forms身份验证配置文件各项的说明^^：

[c-sharp] view plain copy

2.Login.aspx页面

[c-sharp] view plain copy

//单击登入按钮事件处理
protected void login_Click(object sender, EventArgs e)
{
//通过和配置文件<credentials>节点中定义的用户信息比对，验证用户名密码是否合格
//合格
if (FormsAuthentication.Authenticate("lulu", "66"))
{
//创建用户身份验证票据
FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(
1, //版本信息
"lulu", //票据中保存的用户标示
DateTime.Now, //保存票据的Cookie创建时间
DateTime.Now.AddMinutes(40), //保存票据的Cookie过期时间
false, //保存票据的Cookie不永久保存
"Admin", //票据中的用户自定义字段，此处用于存放当前用户的角色信息
FormsAuthentication.FormsCookiePath //保存票据的Cookie的保存路径(在Web.config文件中配置)
);
//创建一用于保存用户身份验证票据的Cookie
//该Cookie的名在配置文件中定义
//该Cookie的值为加密(必须加密！)的数据票据
HttpCookie ticketCookie = new HttpCookie(FormsAuthentication.FormsCookieName, FormsAuthentication.Encrypt(ticket));
//将保存有用户身份验证的票据Cookie加入响应流
Response.Cookies.Add(ticketCookie);
//返回导致重定向的原始页面请求页面
Response.Redirect(FormsAuthentication.GetRedirectUrl("lulu",false), true);
}
else
{
Response.Write("用户名密码验证失败！");
}
}

3.Global.asax文件

[c-sharp] view plain copy

//在安全模块建立起当前用户的有效的身份时，该事件被触发。在这个时候，用户的凭据将会被验证
void Application_AuthenticateRequest(object sender, EventArgs e)
{
//获取当前请求中保存有用户身份票据的Cookie
HttpCookie ticketCookie = Request.Cookies[FormsAuthentication.FormsCookieName];
//如该Cookie不为空，如存在身份票据，解析票据信息，创建用户标识，获取用户角色
if (ticketCookie != null)
{
//获取用户票据
FormsAuthenticationTicket ticket = FormsAuthentication.Decrypt(ticketCookie.Value);
string[] roles = ticket.UserData.Split(',');
//创建用户标识
FormsIdentity identity = new FormsIdentity(ticket);
//创建用户身份主体信息
System.Security.Principal.GenericPrincipal user = new System.Security.Principal.GenericPrincipal(identity, roles);
//把由用户标识，角色信息组成的户身份主体信息保存在User属性中
HttpContext.Current.User = user;
}
}