【原创】ASP.NET 安全认证(四)
——巧妙实现 Form 表单认证跨站点、跨服务器的单点登录(Single Sign On)
作者:寒羽枫(cityhunter172)
第四部分 Form 认证的补充
前三篇在 CSDN 论坛公布后,效果如同“神仙放屁——果然不同凡(反)响”。为感谢广大网友的热情与支持,这不,经过这一阵子的酝酿、修炼,特意准备了这第四响。
之前我们讲述的使用 Form 认证实现单点登录,正如网友所说的那样,只能在同一域名下使用。对于跨域名的单点登录,除了使用 Passport 认证外,我们还是可以用 Form 认证的,只是要讲究方法而已啦。正所谓“山不转水转,人不转心转”。
一、 跨域名的解决思路
在MSDN 2003 上搜索关键字“Passport”,偶找到一篇“Passport 身份验证提供程序”。文章讲述了 Passport 的认证原理,共 8 条,我就不多说了,大伙自个看吧。其中有一句话,引起偶的注意:“……响应在查询字符串中包含一个加密的 Passport Cookie……”。也正是此句才有了下面的思路。
所谓认证的通过与否,其实质就是检测有无发放有效的 Cookie ,使用 Form 也好,运用 Passport 也罢,都是 Cookie 在起作用。也就是说,我们只要把有效的 Cookie 在登录后一次性发放给客户端就得了。
二、 跨域名、跨服务器的单点登录方法
1、 如何在本机模拟跨域名、跨服务器的Single Sign On
只要浏览网址不同就相当于不同域名,在本机至少有以下三种。它们虽然是同一项目,彼此却不能共用 Session与 Cookie ,也就无法共享身份验证票:
a). http://localhost/FormTest/Login.aspx
b). http://127.0.0.1/FormTest/Login.aspx
c). http://My_Computer_Name/FormTest/Login.aspx //以电脑名称浏览站点
d). http://192.168.0.8/FormTest/Login.aspx //以网卡地址浏览站点
e). http://172.meibu.com/FormTest/Login.aspx //拥有国际域名
2、 在 ASP.NET 中如何提交给其它页面
用过ViewState 的大概都知道,ViewState是保存在客户端的。不知大伙注意没有,ASP.NET 为每张 .aspx 页面都配备了独自的 ViewState,且被解析后都是以一个 name=" __VIEWSTATE" 的隐藏控件值来保存ViewState。每次页面提交,服务器都会检查该控件的值有无被篡改,如此一来就注定 .aspx 只能提交给本页。服务器是死的,人是活的,我们不能被这些条条框框限定死了,我们要把程序写成活的。
下面咱们从 http://localhost/FormTest/Login.aspx 输入用户名与密码,然后提交给http://127.0.0.1/FormTest/Public/LoginTransfer.aspx 。Login.aspx与LoginTransfer.aspx都包含用户名输入框一个、密码输入框一个、登录按钮一个。在 Login.aspx 页面加入以下代码:
this.Btn_Login.Attributes["onclick"]="SingleSignOn()"; //