实现简单的 Forms 身份验证

博客园 - dyq

ASP.NET架构分析 ASP.NET 页面对象模型基于aspnet Forms身份验证基本原理 - dyq - 博客园利用HttpModuler实现WEB程序同一时间只让一个用户实例登陆 ASP.NET 中处理页面“回退”的方法建立一个使用.Net 2.0 MemberShip功能的标准例程（二）——配置篇 GridView 72般绝技 SQL Server 连接字符串和身份验证 .NET程序中常用的代码 - dyq - 博客园分析ASP.NET服务器控件开发-控件生命周期收藏网站制作常用经典ajax.prototype.javascript实例打包下载 asp.net中<%%>形式的用法(原创) .NET模板引擎 EFPlatform.CodeGenerator (代码生成器静态页生成生成HTML 模板) 深入浅出之正则表达式（一）正则表达式学习常用的正则表达式 ASP.NET URL Rewrite. URL重写 ASP.NET 生成静态页 .NET生成静态页面并分页

实现简单的 Forms 身份验证

dyq · 2008-02-17 · via 博客园 - dyq

转自：http://www.cnblogs.com/wayne-ivan/archive/2007/12/19/1005329.html

本主题中的示例演示了 ASP.NET Forms 身份验证的简单实现。该示例旨在阐释关于如何使用 Forms 身份验证来允许用户登录到 ASP.NET 应用程序的基础知识。

注意
一种使用 Forms 身份验证的方便途径是使用 ASP.NET 成员资格和 ASP.NET 登录控件。ASP.NET 成员资格提供了存储和管理用户信息的方式，并包含对用户进行身份验证的方法。ASP.NET 登录控件使用 ASP.NET 成员资格，并封装提示用户输入凭据、验证用户、恢复或替换密码等操作所需的逻辑。实际上，ASP.NET 成员资格和 ASP.NET 登录控件在 Forms 身份验证之上提供了一个抽象层，从而取代了要使用 Forms 身份验证通常必须完成的大部分甚至所有工作。有关更多信息，请参见使用成员资格管理用户和 ASP.NET 登录控件概述。

注意

一种使用 Forms 身份验证的方便途径是使用 ASP.NET 成员资格和 ASP.NET 登录控件。ASP.NET 成员资格提供了存储和管理用户信息的方式，并包含对用户进行身份验证的方法。ASP.NET 登录控件使用 ASP.NET 成员资格，并封装提示用户输入凭据、验证用户、恢复或替换密码等操作所需的逻辑。实际上，ASP.NET 成员资格和 ASP.NET 登录控件在 Forms 身份验证之上提供了一个抽象层，从而取代了要使用 Forms 身份验证通常必须完成的大部分甚至所有工作。有关更多信息，请参见使用成员资格管理用户和 ASP.NET 登录控件概述。

在该示例的方案中，用户请求一个受保护的资源，即名为 Default.aspx 的页。只有一个用户可以访问此受保护的资源：jchen@contoso.com，其密码为“37Yj*99P”。该用户名和密码已硬编码到 Logon.aspx 文件中。该示例需要三个文件：Web.config 文件、名为 Logon.aspx 的页以及名为 Default.aspx 的页。这些文件位于应用程序根目录中。

配置应用程序使用 Forms 身份验证

如果应用程序的根目录中有 Web.config 文件，请打开该文件。

如果应用程序的根文件夹中没有 Web.config 文件，请创建一个名为 Web.config 的文本文件，并在其中添加下列元素：

<?xml version="1.0"?>

    <configuration xmlns="http://schemas.microsoft.com/.NetConfiguration/v2.0">

    <system.web>
    
    </system.web>

    </configuration>

在 system.web 元素中，创建一个 authentication 元素，并将它的 mode 属性设置为 Forms，如下面的示例所示：
```
<system.web>

    <authentication mode="Forms">

    </authentication>

    </system.web>
```
在 authentication 元素中，创建一个 forms 元素，并设置下列属性：
- loginUrl 设置为“Logon.aspx”。Logon.aspx 是 ASP.NET 在找不到包含请求内容的身份验证 Cookie 的情况下进行重定向时所使用的 URL。
- name 设置为“.ASPXFORMSAUTH”。这是为包含身份验证票证的 Cookie 的名称设置的后缀。
```
<system.web>

    <authentication mode="Forms">

    <forms loginUrl="Logon.aspx" name=".ASPXFORMSAUTH">

    </forms>

    </authentication>

    </system.web>
```

在 system.web 元素中，创建一个 authorization 元素。

<system.web>

    <authentication mode="Forms">

    <forms loginUrl="Logon.aspx" name=".ASPXFORMSAUTH">

    </forms>

    </authentication>

    <authorization>

    </authorization>

    </system.web>

在 authorization 元素中，创建一个 deny 元素，并将其 users 属性设置为“?”。这是指定将拒绝未通过身份验证的用户（由“?”表示）访问该应用程序中的资源。

<system.web>

    <authentication mode="Forms">

    <forms loginUrl="logon.aspx" name=".ASPXFORMSAUTH">

    </forms>

    </authentication>

    <authorization>

    <deny users="?" />

    </authorization>

    </system.web>

保存并关闭 Web.config 文件。

创建登录页

当用户从网站请求任何页时，如果他们此前未通过身份验证，将被重定向到名为 Logon.aspx 的页。您之前在 Web.config 文件中指定了该文件名。

Logon.aspx 页收集用户凭据（电子邮件地址和密码）并对它们进行身份验证。如果用户成功通过身份验证，登录页会将用户重定向到他们最初所请求的页。在本示例中，有效凭据被硬编码到页代码中。

安全注意
该示例包含一个文本框，用于接受用户输入，这是一个潜在的安全威胁。默认情况下，ASP.NET 网页验证用户输入是否不包括脚本或 HTML 元素。有关更多信息，请参见脚本侵入概述。

创建登录页

在应用程序根文件夹中创建一个名为 Logon.aspx 的 ASP.NET 页。

将下面的标记和代码复制到该页中：

<%@ Page Language="VB" %>

    <%@ Import Namespace="System.Web.Security" %>
    
    <script runat="server">

    Sub Logon_Click(ByVal sender As Object, ByVal e As EventArgs)

    If ((UserEmail.Text = "jchen@contoso.com") And _

    (UserPass.Text = "37Yj*99Ps")) Then

    FormsAuthentication.RedirectFromLoginPage _

    (UserEmail.Text, Persist.Checked)

    Else

    Msg.Text = "Invalid credentials. Please try again."

    End If

    End Sub

    </script>

    
    <html>

    <head id="Head1" runat="server">

    <title>Forms Authentication - Login</title>

    </head>

    <body>

    <form id="form1" runat="server">

    <h3>

    Logon Page</h3>

    <table>

    <tr>

    <td>

    E-mail address:</td>

    <td>

    <asp:TextBox ID="UserEmail" runat="server" /></td>

    <td>

    <asp:RequiredFieldValidator ID="RequiredFieldValidator1" 

    ControlToValidate="UserEmail"

    Display="Dynamic" 

    ErrorMessage="Cannot be empty." 

    runat="server" />

    </td>

    </tr>

    <tr>

    <td>

    Password:</td>

    <td>

    <asp:TextBox ID="UserPass" TextMode="Password" 

    runat="server" />

    </td>

    <td>

    <asp:RequiredFieldValidator ID="RequiredFieldValidator2" 

    ControlToValidate="UserPass"

    ErrorMessage="Cannot be empty." 

    runat="server" />

    </td>

    </tr>

    <tr>

    <td>

    Remember me?</td>

    <td>

    <asp:CheckBox ID="Persist" runat="server" /></td>

    </tr>

    </table>

    <asp:Button ID="Submit1" OnClick="Logon_Click" Text="Log On"  

    runat="server" />

    <p>

    <asp:Label ID="Msg" ForeColor="red" runat="server" />

    </p>

    </form>

    </body>

    </html>

<%@ Page Language="C#" %>

    <%@ Import Namespace="System.Web.Security" %>
    
    <script runat="server">

    void Logon_Click(object sender, EventArgs e)

    {

    if ((UserEmail.Text == "jchen@contoso.com") && 

    (UserPass.Text == "37Yj*99Ps"))

    {

    FormsAuthentication.RedirectFromLoginPage 

    (UserEmail.Text, Persist.Checked);

    }

    else

    {

    Msg.Text = "Invalid credentials. Please try again.";

    }

    }

    </script>

    <html>

    <head id="Head1" runat="server">

    <title>Forms Authentication - Login</title>

    </head>

    <body>

    <form id="form1" runat="server">

    <h3>

    Logon Page</h3>

    <table>

    <tr>

    <td>

    E-mail address:</td>

    <td>

    <asp:TextBox ID="UserEmail" runat="server" /></td>

    <td>

    <asp:RequiredFieldValidator ID="RequiredFieldValidator1" 

    ControlToValidate="UserEmail"

    Display="Dynamic" 

    ErrorMessage="Cannot be empty." 

    runat="server" />

    </td>

    </tr>

    <tr>

    <td>

    Password:</td>

    <td>

    <asp:TextBox ID="UserPass" TextMode="Password" 

    runat="server" />

    </td>

    <td>

    <asp:RequiredFieldValidator ID="RequiredFieldValidator2" 

    ControlToValidate="UserPass"

    ErrorMessage="Cannot be empty." 

    runat="server" />

    </td>

    </tr>

    <tr>

    <td>

    Remember me?</td>

    <td>

    <asp:CheckBox ID="Persist" runat="server" /></td>

    </tr>

    </table>

    <asp:Button ID="Submit1" OnClick="Logon_Click" Text="Log On" 

    runat="server" />

    <p>

    <asp:Label ID="Msg" ForeColor="red" runat="server" />

    </p>

    </form>

    </body>

    </html>

此页包含用于收集用户信息的 ASP.NET 服务器控件和一个复选框，当用户单击该复选框时，他们的登录凭据将保存下来。“登录”按钮的 Click 处理程序包含对照硬编码的值来检查用户的电子邮件地址和密码的代码。（该密码是强密码，包含各种非字母字符，且至少为八个字符长。）如果用户的凭据正确，代码将调用 FormsAuthentication 类的 RedirectFromLoginPage 方法，并传递用户名和一个来源于复选框的布尔值，该值指示是否将身份验证票证保存为 Cookie。此方法将用户重定向到最初所请求的页。如果用户的凭据不匹配，将显示一条错误消息。请注意，该页会导入包含 FormsAuthentication 类的 System.Web.Security 命名空间。

创建默认页

对于本示例，您将在应用程序根文件夹中创建一个 ASP.NET 页。因为您在配置文件中指定拒绝所有未通过身份验证的用户访问应用程序的 ASP.NET 资源（包括 .aspx 文件，但不包括静态文件，例如 HTML 文件或包括图像、音乐等在内的多媒体文件），所以当用户请求该页时，Forms 身份验证将检查用户的凭据，并在必要的时候将用户重定向到登录页。您创建的页还将允许用户注销，以清除他们的已保存身份验证票证 (Cookie)。

创建默认页

在应用程序根文件夹中创建一个名为 Default.aspx 的 ASP.NET 页。

将下面的标记和代码复制到该页中：

<%@ Page Language="VB" %>

    <html>

    <head>

    <title>Forms Authentication - Default Page</title>

    </head>
    
    <script runat="server">

    Sub Page_Load(ByVal Src As Object, ByVal e As EventArgs)

    Welcome.Text = "Hello, " & Context.User.Identity.Name

    End Sub

    
    Sub Signout_Click(ByVal sender As Object, ByVal e As EventArgs)

    FormsAuthentication.SignOut()

    Response.Redirect("Logon.aspx")

    End Sub

    </script>

    
    <body>

    <h3>

    Using Forms Authentication</h3>

    <asp:Label ID="Welcome" runat="server" />

    <form id="Form1" runat="server">

    <asp:Button ID="Submit1" OnClick="Signout_Click" 

    Text="Sign Out" runat="server" /><p>

    </form>

    </body>

    </html>

<%@ Page Language="C#" %>

    <html>

    <head>

    <title>Forms Authentication - Default Page</title>

    </head>
    
    <script runat="server">

    void Page_Load(object sender, EventArgs e)

    {

    Welcome.Text = "Hello, " + Context.User.Identity.Name;

    }

    
    void Signout_Click(object sender, EventArgs e)

    {

    FormsAuthentication.SignOut();

    Response.Redirect("Logon.aspx");

    }

    </script>

    
    <body>

    <h3>

    Using Forms Authentication</h3>

    <asp:Label ID="Welcome" runat="server" />

    <form id="Form1" runat="server">

    <asp:Button ID="Submit1" OnClick="Signout_Click" 

    Text="Sign Out" runat="server" /><p>

    </form>

    </body>

    </html>

此页显示用户的已通过身份验证的标识，该标识是由 FormsAuthentication 类设置的，并作为 Context.User.Identity.Name 属性在 ASP.NET 页中提供。“注销”按钮的 Click 处理程序包含具有如下作用的代码：调用 SignOut 方法以清除用户标识并移除身份验证票证 (Cookie)。然后将用户重定向到登录页。

把你不需要验证的所有页放在一个目录下面，但是不用在那个目录下面的WEB.CONFG中对FROMS验证模式进行设置。只要在最上层的WEB.CONFIG中统一设置就可以了.比如下面的例子:
一、设置所有页面都需要验证
<system web>
<authentication mode="Forms">
    <forms loginUrl = "Lonin.aspx" name = ".ASPXFORMSAUTH"/>
</authentication>
</system web>
二、再特别设置对某个目录下的页面不需要验证(NoAuto为不需要验证的页面所在的目录）
<location path="NoAuto">
    <system.web>
      <authorization>
        <allow users="*" />
      </authorization>
    </system.web>
</location>

此内容由惯性聚合(RSS阅读器)自动聚合整理，仅供阅读参考。原文来自 — 版权归原作者所有。

推荐订阅源

博客园 - dyq

配置应用程序使用 Forms 身份验证

创建登录页

创建登录页

创建默认页

创建默认页