ASP.NET基于Forms身份权限验证

1、创建一个网站，结构如下：

网站根目录

Admin目录 ----> 管理员目录

Manager.aspx ----> 管理员可以访问的页面

Users目录 ----> 注册用户目录

Welcome.aspx ----> 注册用户可以访问的页面

Error目录 ----> 错误提示目录

AccessError.htm ----> 访问错误的提示页面

default.aspx ----> 网站默认页面

login.aspx ----> 网站登录页面

web.config ----> 网站配置文件

 

2、配置web.config如下：

<configuration>

<system.web>

<!--设置Forms身份验证-->

                 <authentication mode="Forms">

                    <forms loginUrl="Login.aspx"name="MyWebApp.APSXAUTH" path="/"protection="All" timeout="30"/>

                 </authentication>

                 <authorization>

                    <allow users="*"/>

                 </authorization>

</system.web>

</configuration>

<!--设置Admin目录的访问权限-->

<location path="Admin">

        <system.web>

               <authorization>

                        <allowroles="Admin"/>

                        <denyusers="?"/>

               </authorization>

        </system.web>

</location>

<!--设置Users目录的访问权限-->

<location path="Users">

        <system.web>

                <authorization>

                        <allowroles="User"/>

                        <denyusers="?"/>

               </authorization>

        </system.web>

</location>

 

3、在login.aspx页面的登录部分代码如下：

protected void btnLogin_Click(object sender, EventArgs e)

{

        //Forms身份验证初始化

       FormsAuthentication.Initialize();

        //验证用户输入并得到登录用户，txtName是用户名称，txtPassword是登录密码

        UserModel um =ValidUser(txtName.Text.Trim(),txtPassword.Text.Trim());

        if (um != null)

        {

                //创建身份验证票据

               FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(1,

                um.Name,

                DateTime.Now,

               DateTime.Now.AddMinutes(30),

                true,

                um.Roles,//用户所属的角色字符串

               FormsAuthentication.FormsCookiePath);

                //加密身份验证票据

                string hash =FormsAuthentication.Encrypt(ticket);

                //创建要发送到客户端的cookie

                HttpCookie  cookie  = 

New HttpCookie(FormsAuthentication.FormsCookieName, hash);

                if(ticket.IsPersistent)

                {

                       cookie.Expires = ticket.Expiration;

                }

                //把准备好的cookie加入到响应流中

                Response.Cookies.Add(cookie);

                //转发到请求的页面

               Response.Redirect(FormsAuthentication.GetRedirectUrl(um.Name,false));

        }

        else

        {

                ClientScriptManagercsm = this.Page.ClientScript;

                csm.RegisterStartupScript(this.GetType(),"error_tip", "alert('用户名或密码错误！身份验证失败！');", true);

        }

}

//验证用户

private UserModel ValidUser(string name, string password)

{

        return newUserService().Validate(name, password);

}

 

4、给网站添加处理程序Global.asax,其中通用身份验证代码如下：

 

//改造原来的User，给其添加一个用户所属的角色数据

protected void Application_AuthenticateRequest(object sender, EventArgs e)

{

        if (HttpContext.Current.User!= null )

        {

                if(HttpContext.Current.User.Identity.IsAuthenticated)

                {

                        if(HttpContext.Current.User.Identity is FormsIdentity)

                        {

                               FormsIdentity  id  =

(FormsIdentity)HttpContext.Current.User.Identity;

                                FormsAuthenticationTicket ticket =id.Ticket;

                               string userData = ticket.UserData;

                               string[] roles = userData.Split(',');

                                //重建HttpContext.Current.User，加入用户拥有的角色数组

                               HttpContext.Current.User = new GenericPrincipal(id, roles);

                        }

                }

        }

}

5、在Admin目录中Manager.aspx页面加载代码如下：

复制代码代码如下:

protected void Page_Load(object sender, EventArgs e)

{

        //判断通过身份验证的用户是否有权限访问本页面

        FormsIdentity id =(FormsIdentity)HttpContext.Current.User.Identity;

        //判断通过身份验证的用户是否是Admin角色

        if(!id.Ticket.UserData.Contains("Admin"))

        {

                //跳转到访问权限不够的错误提示页面

                Response.Redirect("~/Error/AccessError.htm",true);

        }

}

//安全退出按钮的代码

protected void btnExit_Click(object sender, EventArgs e)

{

        //注销票据

       FormsAuthentication.SignOut();

        ClientScriptManager csm =this.Page.ClientScript;

       csm.RegisterStartupScript(this.GetType(), "exit_tip","alert('您已经安全退出了！');", true);

 }

6、在Users目录中Welcome.aspx页面加载代码如下：

protected void Page_Load(object sender, EventArgs e)

{

        //判断通过身份验证的用户是否有权限访问本页面

        FormsIdentity id =(FormsIdentity)HttpContext.Current.User.Identity;

        //判断通过身份验证的用户是否是User角色

        if(!id.Ticket.UserData.Contains("User"))

        {

                //跳转到访问权限不够的错误提示页面

               Response.Redirect("~/Error/AccessError.htm", true);

        }

}

 

//安全退出按钮的代码

protected void btnExit_Click(object sender, EventArgs e)

{

        //注销票据

       FormsAuthentication.SignOut();

        ClientScriptManager csm =this.Page.ClientScript;

       csm.RegisterStartupScript(this.GetType(), "exit_tip","alert('您已经安全退出了！');", true);

}

测试结果：

数据：

假设有3个用户,如下：

------------------------------------------

用户名密码角色字符串

------------------------------------------

sa sa Admin,User

admin admin Admin

user user User

------------------------------------------

测试：

如果使用admin登录，只能访问Admin目录的Manager.aspx页面；

如果使用user登录，只能访问Users目录的Welcome.aspx页面；

使用sa登录，既能访问Admin目录的Manager.aspx页面，又能访问Users目录的Welcome.aspx页面。

注意：测试时注意及时点击安全退出按钮，否则影响测试结果。