當前位置：首頁 > 编程资源 > 编程问答 >内容正文

编程问答

Forms身份验证基本原理

發布時間：2023/11/29 编程问答 34 豆豆

生活随笔收集整理的這篇文章主要介紹了 Forms身份验证基本原理小編覺得挺不錯的,現在分享給大家,幫大家做個參考.

要采用Forms身份驗證，先要在應用程序根目錄中的Web.config中做相應的設置:

<forms>標簽中的name表示指定要用于身份驗證的HTTP Cookie（即指定Cookie名字），默認值是.ASPXAUTH

.ASPXAUTH這個使用來決定用戶是否被認證了，即驗證用戶

采用此種方式驗證用戶后,以此用戶的信息建立一個FormsAuthenticationTicket類型的身份驗證票,再加密序列化為一個字符串,最后將這個字符串寫到客戶端的name指定名字的Cookie中.一旦這個Cookie寫到客戶端后,此用戶再次訪問這個web應用時會將連同Cookie一起發送到服務端,服務端將會知道此用戶是已經驗證過的.

<forms>標簽中的loginUrl指定如果沒有找到任何有效的身份驗證 Cookie，為登錄將請求重定向到的 URL。默認值為 default.aspx。loginUrl指定的頁面就是用來驗證用戶身份的,一般此頁面提供用戶輸入用戶名和密碼,用戶提交后由程序來根據自己的需要來驗證用戶的合法性(大多情況是將用戶輸入信息同數據庫中的用戶表進行比較),如果驗證用戶有效,則生成同此用戶對應的身份驗證票,寫到客戶端的Cookie,最后將瀏覽器重定向到用戶初試請求的頁面.一般是用FormsAuthentication.RedirectFromLoginPage 方法來完成生成身份驗證票,寫回客戶端,瀏覽器重定向等一系列的動作.

public static void RedirectFromLoginPage( string userName, bool createPersistentCookie, string strCookiePath );
其中:
userName：就是此用戶的標示,用來標志此用戶的唯一標示,不一定要映射到用戶賬戶名稱.
createPersistentCookie：標示是否發出持久的 Cookie。
若不是持久Cookie，Cookie的有效期Expiration屬性有當前時間加上web.config中timeout的時間，每次請求頁面時，在驗證身份過程中，會判斷是否過了有效期的一半，要是的話更新一次cookie的有效期；若是持久cookie，Expiration屬性無意義，這時身份驗證票的有效期有cookie的Expires決定，RedirectFromLoginPage方法給Expires屬性設定的是50年有效期。
strCookiePath：標示將生成的Cookie的寫到客戶端的路徑，身份驗證票中保存這個路徑是在刷新身份驗證票Cookie時使用（這也是生成Cookie的Path），若沒有strCookiePath 參數，則使用web.config中 path屬性的設置。

RedirectFromLoginPage方法生成生成身份驗證票后，會調用FormsAuthentication.Encrypt 方法，將身份驗證票加密為字符串，這個字符串將會是以.ASPXAUTH為名字的一個Cookie的值。這個Cookie的其它屬性的生成：Domain，Path屬性為確省值，Expires視createPersistentCookie參數而定，若是持久cookie，Expires設為50年以后過期；若是非持久cookie，Expires屬性不設置。
生成身份驗證Cookie后，將此Cookie加入到Response.Cookies中，等待發送到客戶端。
最后RedirectFromLoginPage方法調用FormsAuthentication.GetRedirectUrl 方法獲取到用戶原先請求的頁面，重定向到這個頁面。

<forms>標簽中的timeout和path,是提供了身份驗證票寫入到Cookie過期時間和默認路徑。

timeout?Cookies過期時間

訪問受權

驗證了身份，是要使用這個身份，根據不同的身份我們可以進行不同的操作，處理，最常見的就是對不同的身份進行不同的授權，Forms驗證就提供這樣的功能。Forms授權是基于目錄的，可以針對某個目錄來設置訪問權限，比如，這些用戶可以訪問這個目錄，那些用戶不能訪問這個目錄。
同樣，授權設置是在你要控制的那個目錄下的web.config文件中來設置：

<allow>標簽表示允許訪問，其中的屬性
1. users：一個逗號分隔的用戶名列表，這些用戶名已被授予對資源的訪問權限。問號 (?) 允許匿名用戶；星號 (*) 允許所有用戶。
2. roles：一個逗號分隔的角色列表，這些角色已被授予對資源的訪問權限。
3. verbs：一個逗號分隔的 HTTP 傳輸方法列表，這些 HTTP 傳輸方法已被授予對資源的訪問權限。注冊到 ASP.NET 的謂詞為 GET、HEAD、POST 和 DEBUG。

<deny>標簽表示不允許訪問。其中的屬性同上面的。

在運行時，授權模塊迭代通過 <allow> 和 <deny> 標記，直到它找到適合特定用戶的第一個訪問規則。然后，它根據找到的第一項訪問規則是 <allow> 還是 <deny> 規則來允許或拒絕對 URL 資源的訪問。Machine.config 文件中的默認身份驗證規則是 <allow users="*"/>，因此除非另行配置，否則在默認情況下會允許訪問。

那么這些user 和roles又是如何得到的呢？下面看一下授權的詳細過程：

1. 一旦一個用戶訪問這個網站，就行登錄確認了身份，身份驗證票的cookie也寫到了客戶端。之后，這個用戶再次申請這個web的頁面，身份驗證票的cookie就會發送到服務端。在服務端，asp.net為每一個http請求都分配一個HttpApplication對象來處理這個請求，在HttpApplication.AuthenticateRequest事件后，安全模塊已建立用戶標識，就是此用戶的身份在web端已經建立起來，這個身份完全是由客戶端發送回來的身份驗證票的cookie建立的。

2. 用戶身份在HttpContext.User 屬性中，在頁面中可以通過Page.Context 來獲取同這個頁面相關的HttpContext對象。對于Forms驗證，HttpContext.User屬性是一個GenericPrincipal類型的對象，GenericPrincipal只有一個公開的屬性Identity，有個私有的m_role屬性，是string[]類型，存放此用戶是屬于哪些role的數組，還有一個公開的方法IsInRole(string role)，來判斷此用戶是否屬于某個角色。
由于身份驗證票的cookie中根本沒有提供role這個屬性，就是說Forms身份驗證票沒有提供此用戶的role信息，所以，對于Forms驗證，在服務端得到的GenericPrincipal 用戶對象的m_role屬性永遠是空的。
3. GenericPrincipal. Identity 屬性是一個FormsIdentity類型的對象，這個對象有個Name屬性，就是此用戶的標示，訪問授權就是將此屬性做為user來進行授權驗證的。FormsIdentity還有一個屬性，就是Ticket屬性，此屬性是身份驗證票FormsAuthenticationTicket類型，就是之前服務器寫到客戶端的身份驗證票。
服務器在獲取到身份驗證票FormsAuthenticationTicket對象后，查看這個身份驗證票是不是非持久的身份驗證，是的話要根據web.config中timeout屬性設置的有效期來更新這個身份驗證票的cookie（為避免危及性能，在經過了超過一半的指定時間后更新該 Cookie。這可能導致精確性上的損失。持久性 Cookie 不超時。）
4. 在HttpApplication.ResolveRequestCache事件之前，asp.net開始取得用戶請求的頁面，建立HttpHandler控制點。這就意味著，在HttpApplication.ResolveRequestCache事件要對用戶訪問權限就行驗證，看此用戶或角色是否有權限訪問這個頁面，之后在這個請求的生命周期內再改變此用戶的身份或角色就沒有意義了。

以上是Forms驗證的全過程，可以看出，這個Forms驗證是基于用戶的，沒有為角色的驗證提供直接支持。身份驗證票FormsAuthenticationTicket 中的Name屬性是用戶標示，其實還有一個屬性UserData，這個屬性可以由應用程序來寫入自定義的一些數據，我們可以利用這個字段來存放role的信息，從而達到基于角色驗證的目的。

Forms身份驗證基于角色的授權

在web.config的<authentication>的設置還是一樣：

/login.aspx驗證用戶合法性頁面中，在驗證了用戶的合法性后，還要有個取得此用戶屬于哪些role的過程，這個看各個應用的本身如何設計的了，一般是在數據庫中會有個use_role表，可以從數據庫中獲得此用戶屬于哪些role，在此不深究如何去獲取用戶對應的role，最后肯定能夠獲得的此用戶對應的所有的role用逗號分割的一個字符串。
在上面的非基于角色的方法中，我們用了FormsAuthentication.RedirectFromLoginPage 方法來完成生成身份驗證票,寫回客戶端,瀏覽器重定向等一系列的動作。這個方法會用一些確省的設置來完成一系列的動作，在基于角色的驗證中我們不能用這一個方法來實現，要分步的做，以便將一些定制的設置加進來：

1. 首先要根據用戶標示，和用戶屬于的角色的字符串來創建身份驗證票
public FormsAuthenticationTicket(
int version, //設為1
string name, //用戶標示
DateTime issueDate, //Cookie 的發出時間, 設置為 DateTime.Now
DateTime expiration, //過期時間
bool isPersistent, //是否持久性(根據需要設置,若是設置為持久性,在發出cookie時,cookie的Expires設置一定要設置)
string userData, //這里用上面準備好的用逗號分割的role字符串
string cookiePath // 設為"/",這要同發出cookie的路徑一致,因為刷新cookie要用這個路徑
);

FormsAuthenticationTicket Ticket = new FormsAuthenticationTicket (1,"kent",DateTime.Now, DateTime.Now.AddMinutes(30), false,UserRoles,"/") ;

2. 生成身份驗證票的Cookie
2.1 將身份驗證票加密序列化成一個字符串
string HashTicket = FormsAuthentication.Encrypt (Ticket) ;
2.2 生成cookie
HttpCookie UserCookie = new HttpCookie(FormsAuthentication.FormsCookieName, HashTicket) ;
FormsAuthentication.FormsCookieName 是用來獲取web.config中設置的身份驗證cookie的名字,缺省為" .ASPXAUTH".
若身份驗證票中的isPersistent屬性設置為持久類,則這個cookie的Expires屬性一定要設置,這樣這個cookie才會被做為持久cookie保存到客戶端的cookie文件中.
3. 將身份驗證票Cookie輸出到客戶端
通過Response.Cookies.Add(UserCookie) 將身份驗證票Cookie附加到輸出的cookie集合中,發送到客戶端.
4. 重定向到用戶申請的初試頁面.

驗證部分代碼(這部分代碼是在login.aspx頁面上點擊了登錄按鈕事件處理代碼):

Code
?1private?void?Buttonlogin_Click(object?sender,?System.EventArgs?e)
?2{
?3?????string?user?=?TextBoxUser.Text;?//讀取用戶名
?4?????string?password?=?TextBoxPassword.Text;?//讀取密碼
?5?????if(Confirm(user,password)?==?true)?//confirm方法用來驗證用戶合法性的
?6????{
?7?????????string?userRoles?=?UserToRole(user);?//調用UserToRole方法來獲取role字符串
?8?????????FormsAuthenticationTicket?Ticket?=?new?FormsAuthenticationTicket?(1,user,DateTime.Now,??????????DateTime.Now.AddMinutes(30),?false,userRoles,"/")?;?//建立身份驗證票對象
?9?????????string?HashTicket?=?FormsAuthentication.Encrypt?(Ticket)?;?//加密序列化驗證票為字符串
10?????????HttpCookie?UserCookie?=?new?HttpCookie(FormsAuthentication.FormsCookieName,?HashTicket)?;?
11//生成Cookie
12??????????Context.Response.Cookies.Add?(UserCookie)?;?//輸出Cookie
13?????????Context.Response.Redirect?(Context.Request["ReturnUrl"])?;?//?重定向到用戶申請的初始頁面
14?????}
15????else
16????{
17????????//?用戶身份未被確認時的代碼
18????}
19}
20//此方法用來驗證用戶合法性的
21private?bool?Confirm(string?user,string?password)
22{
23????//相應的代碼
24}
25//此方法用來獲得的用戶對應的所有的role用逗號分割的一個字符串
26private?string?UserToRole(string?user)
27{
28????//相應的代碼
29}
30
31

基于角色訪問授權

這里我們要做的是,將客戶端保存的身份驗證票中UserData中保存的表示角色的信息恢復到在服務端表示用戶身份的GenericPrincipal對象中(記住,原來的驗證過程中, GenericPrincipal對象只包含了用戶信息,沒有包含role信息)
一個Http請求的過程中,HttpApplication.AuthenticateRequest事件表示安全模塊已建立用戶標識，就是此用戶的身份在web端已經建立起來, 在這個事件之后我們就可以獲取用戶身份信息了.
在HttpApplication.ResolveRequestCache事件之前，asp.net開始取得用戶請求的頁面，建立HttpHandler控制點,這時就已經要驗證用戶的權限了,所以恢復用戶角色的工作只能在HttpApplication.AuthenticateRequest事件和HttpApplication.ResolveRequestCache事件之間的過程中做.
我們選擇Application_AuthorizeRequest事件中做這個工作,可以在global.asax文件中處理HttpApplication的所有的事件,代碼如下:

Code
?1protected?void?Application_AuthorizeRequest(object?sender,?System.EventArgs?e)
?2{
?3????HttpApplication?App?=?(HttpApplication)?sender;
?4
?5????//獲取本次Http請求相關的HttpContext對象
?6?????HttpContext?Ctx?=?App.Context?;?
?7
?8????//驗證過的用戶才進行role的處理
?9????if?(Ctx.Request.IsAuthenticated?==?true)?
10????{
11????????FormsIdentity?Id?=?(FormsIdentity)Ctx.User.Identity?;
12????????//取得身份驗證票
13????????FormsAuthenticationTicket?Ticket?=?Id.Ticket?;?
14
15?????????//將身份驗證票中的role數據轉成字符串數組
16????????string[]?Roles?=?Ticket.UserData.Split?(',')?;
17
18???????//將原有的Identity加上角色信息新建一個GenericPrincipal表示當前用戶,這樣當前用戶就擁有了role信息??????
19????????Ctx.User?=?new?GenericPrincipal?(Id,?Roles)?;???
20???}
21}
22
23

訪問者同時具有了user和role信息,就可以據此在web.config中用role來控制用戶的訪問權限了.

轉載于:https://www.cnblogs.com/tangself/archive/2011/08/08/2130597.html

總結

以上是生活随笔為你收集整理的Forms身份验证基本原理的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。