设为首页
加入收藏
站内地图
旧版入口
当前位置：首页 > 站长学院 > 网络编程 > ASP.NET

ASP.NET 2.0 中的窗体身份验证

作者：佚名 出处：网络转载 时间：08-24 点击：

内容载入中...
教程中国版权声明: 华腾联合.中国 概述

　　窗体身份验证使用用户登录到站点时创建的身份验证票，然后在整个站点内跟踪该用户。窗体身份验证票通常包含在一个 Cookie 中。然而，ASP.NET 2.0 版支持无 Cookie 窗体身份验证，结果是将票证传入查询字符串中。

　　如果用户请求一个需要经过身份验证的访问的页，且该用户以前没有登录过该站点，则该用户重定向到一个配置好的登录页。该登录页提示用户提供凭据（通常是用户名和密码）。然后，将这些凭据传递给服务器并针对用户存储（如 SQL Server 数据库）进行验证。在 ASP.NET 2.0 中，用户存储访问可由成员身份提供程序处理。对用户的凭据进行身份验证后，用户重定向到原来请求的页面。

　　窗体身份验证处理由 FormsAuthenticationModule 类实现，该类是一个参与常规 ASP.NET 页处理循环的 HTTP 模块。本文阐释 ASP.NET 2.0 中窗体身份验证的工作机制。


　　IIS 身份验证

　　ASP.NET 身份验证分为两个步骤。首先，Internet 信息服务 (IIS) 对用户进行身份验证，并创建一个 Windows 令牌来表示该用户。IIS 通过查看 IIS 元数据库设置，确定应该对特定应用程序使用的身份验证模式。如果 IIS 配置为使用匿名身份验证，则为 IUSR_MACHINE 帐户生成一个令牌并用它表示匿名用户。然后，IIS 将该令牌传递给 ASP.NET。

　　其次，ASP.NET 执行自己的身份验证。所使用的身份验证方法由 authentication 元素的 mode 属性指定。以下身份验证配置指定 ASP.NET 使用 FormsAuthenticationModule 类：

＜authentication mode="Forms" /＞

　　注 由于窗体身份验证不依赖于 IIS 身份验证，因此如果要在 ASP.NET 应用程序中使用窗体身份验证，则应该在 IIS 中为应用程序配置匿名访问。

　　ASP.NET 窗体身份验证

　　ASP.NET 窗体身份验证在 IIS 身份验证完成后发生。可以使用 forms 元素配置窗体身份验证。

　　窗体身份验证配置

　　以下配置文件片段显示窗体身份验证的默认属性值。 

＜system.web＞ 
  ＜authentication mode="Forms"＞ 
    ＜forms loginUrl="Login.ASPx" 
           protection="All" 
           timeout="30" 
           name=".ASPXAUTH"  
           path="/" 
           requireSSL="false" 
           slidingExpiration="true" 
           defaultUrl="default.ASPx" 
           cookieless="UseDeviceProfile" 
           enableCrossAppRedirects="false" /＞ 
  ＜/authentication＞ 
＜/system.web＞
　　下面是对默认属性值的描述：

·
loginUrl 指向应用程序的自定义登录页。应该将登录页放在需要安全套接字层 (SSL) 的文件夹中。这有助于确保凭据从浏览器传到 Web 服务器时的完整性。
·
protection 设置为 All，以指定窗体身份验证票的保密性和完整性。这导致使用 machineKey 元素上指定的算法对身份验证票证进行加密，并且使用同样是 machineKey 元素上指定的哈希算法进行签名。
·
timeout 用于指定窗体身份验证会话的有限生存期。默认值为 30 分钟。如果颁发持久的窗体身份验证 Cookie，timeout 属性还用于设置持久 Cookie 的生存期。


【我要纠错】【进入论坛交流】【关闭此页】【进入博客】
收藏本文：
【大 中 小】【打印页面】【推荐给朋友】【关闭窗口】