|
Asp.net的身份验证有有三种，分别是"Windows | Forms | Passport"，其中又以Forms验证用的最多，也最灵活。 问题来了，在实际是用中我们往往需要的是基于角色，或者说基于用户组的验证和授权。对一个网站来说，一般的验证授权的模式应该是这样的：根据实际需求把用户分成不同的身份，就是角色，或者说是用户组，验证过程不但要验证这个用户本身的身份，还要验证它是属于哪个角色的。而访问授权是根据角色来设置的，某些角色可以访问哪些资源，不可以访问哪些资源等等。要是基于用户来授权访问将会是个很不实际的做法，用户有很多，还可能随时的增减，不可能在配置文件中随时的为不断增加的新用户去增加访问授权的。 下面大概的看一下Forms的过程。 Forms身份验证基本原理： 一 身份验证 要采用Forms身份验证，先要在应用程序根目录中的Web.config中做相应的设置: <authentication mode="forms"> 其中<authentication mode= "forms"> 表示本应用程序采用Forms验证方式。 再看一下身份验证票都包含哪些信息呢,我们看一下FormsAuthenticationTicket类:
3. <forms>标签中的timeout和path,是提供了身份验证票写入到Cookie过期时间和默认路径。 以上就是基于Forms身份验证的过程，它完成了对用户身份的确认。下面介绍基于Forms身份验证的访问授权。 二 访问授权 验证了身份，是要使用这个身份，根据不同的身份我们可以进行不同的操作，处理，最常见的就是对不同的身份进行不同的授权，Forms验证就提供这样的功能。Forms授权是基于目录的，可以针对某个目录来设置访问权限，比如，这些用户可以访问这个目录，那些用户不能访问这个目录。 <allow>标签表示允许访问，其中的属性 <deny>标签表示不允许访问。其中的属性同上面的。 在运行时，授权模块迭代通过 <allow> 和 <deny> 标记，直到它找到适合特定用户的第一个访问规则。然后，它根据找到的第一项访问规则是 <allow> 还是 <deny> 规则来允许或拒绝对 URL 资源的访问。Machine.config 文件中的默认身份验证规则是 <allow users="*"/>，因此除非另行配置，否则在默认情况下会允许访问。 那么这些user 和roles又是如何得到的呢？下面看一下授权的详细过程： 1. 一旦一个用户访问这个网站，就行登录确认了身份，身份验证票的cookie也写到了客户端。之后，这个用户再次申请这个web的页面，身份验证票的cookie就会发送到服务端。在服务端，asp.net为每一个http请求都分配一个HttpApplication对象来处理这个请求，在HttpApplication.AuthenticateRequest事件后，安全模块已建立用户标识，就是此用户的身份在web端已经建立起来，这个身份完全是由客户端发送回来的身份验证票的cookie建立的。 以上是Forms验证的全过程，可以看出，这个Forms验证是基于用户的，没有为角色的验证提供直接支持。身份验证票FormsAuthenticationTicket 中的Name属性是用户标示，其实还有一个属性UserData，这个属性可以由应用程序来写入自定义的一些数据，我们可以利用这个字段来存放role的信息，从而达到基于角色验证的目的。 Forms身份验证基于角色的授权 一 身份验证 在web.config的<authentication>的设置还是一样： <authentication mode="forms"> /login.aspx验证用户合法性页面中，在验证了用户的合法性后，还要有个取得此用户属于哪些role的过程，这个看各个应用的本身如何设计的了，一般是在数据库中会有个use_role表，可以从数据库中获得此用户属于哪些role，在此不深究如何去获取用户对应的role，最后肯定能够获得的此用户对应的所有的role用逗号分割的一个字符串。 1. 首先要根据用户标示，和用户属于的角色的字符串来创建身份验证票 FormsAuthenticationTicket Ticket = new FormsAuthenticationTicket (1,"kent",DateTime.Now, DateTime.Now.AddMinutes(30), false,UserRoles,"/") ; 2. 生成身份验证票的Cookie 验证部分代码(这部分代码是在login.aspx页面上点击了登录按钮事件处理代码): private void Buttonlogin_Click(object sender, System.EventArgs e) 二 基于角色访问授权 这里我们要做的是,将客户端保存的身份验证票中UserData中保存的表示角色的信息恢复到在服务端表示用户身份的GenericPrincipal对象中(记住,原来的验证过程中, GenericPrincipal对象只包含了用户信息,没有包含role信息) protected void Application_AuthorizeRequest(object sender, System.EventArgs e) 访问者同时具有了user和role信息,就可以据此在web.config中用role来控制用户的访问权限了. |
http://blog.163.com/zjlovety@126/blog/static/224186242010070024282/
FormsAuthenticationTicket分解
|
使用Forms Authentication实现用户注册、登录 （一）基础知识
http://www.cnblogs.com/AndersLiu/archive/2008/01/01/forms-authentication-part-1.html
FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(1, "username", DateTime.Now, DateTime.Now.AddDays(365),
true, string.Format("{0}:{1}", "username", "password"), FormsAuthentication.FormsCookiePath);
//这边的 string.Format("{0}:{1}", "username", "password")，也可以改为任何值，如密码或IPstring ticString = FormsAuthentication.Encrypt(ticket);
//将加密后的票据保存为cookie
HttpCookie coo = new HttpCookie(FormsAuthentication.FormsCookieName, ticString);
//这里的IsPersistent不会自己判断，需要手工判断，但FormsAuthenticationTicket的expiration的值是有过期性的，无论cookie的Expires设置多久，只要expiration到期，即使cookie存在用户验证也将失败if (ticket.IsPersistent)
{
coo.Expires = ticket.Expiration;
}
//使用加入了userdata的新cookie Response.Cookies.Add(coo);
//FormsAuthentication.SetAuthCookie("username", true);//这种是快速写法，用了这种写法就可以不用自己建ticket票据，也无法使用UserData等参数了
//FormsAuthentication.SignOut//用来清除这个Cookie标记//FormsAuthentication.RedirectFromLoginPage(userID, createPersistentCookie);
// <authentication mode="Forms">
// <forms name=".MyCookie" loginUrl="Login.aspx" protection="All" timeout="60"/>
// </authentication>
总结：
1.FormsAuthentication一共有两种生成并记录票具的方法：
一种是自己new FormsAuthenticationTicket，然后自己保存到Cookie中，ticket的IsPersistent属性仅起到标识的作用，并不会去修改Cookies的到期时间，需要人工自己判断后设置cookies的到期时间（if (ticket.IsPersistent){coo.Expires = ticket.Expiration; }）。
另一种是使用FormsAuthentication.SetAuthCookie("username",IsPersistent: false);来快捷生成ticket，这种方法系统会自动新建一个cookies来保存ticket，并根据IsPersistent是否为true，以及webconfig中的timeout来确定cookies的到期时间。
2.如果使用第一种方法，无论自己把cookies的时间设置为多久，只要ticket.Expiration到期了，及时cookies还存在，用户验证依然会失败。
3.UserData是个好东西，可以用来存储IP地址，用于判断访问者是否是恶意截取cookies。
经典FormsAuthenticationTicket 分析
原文：http://www.cnblogs.com/sherlockholmes/p/5286991.html