ASP.NET 安全续2

 使用窗体身份验证

        但是只保护.aspx,.asmx,.ashx。但不包括普通的HTML页面或经典asp 页面。

        

Ｖoid LogonUser( object  sender, EventArgs e)
{
    string user = userName.Text;
    string pswd = passWord.Text;
    //Custom authentication
    bool bAuthenticated = AuthenticateUser(user,pswd);
    if (bAuthenticated)
        FormsAuthentication.RedirectFromLoginPage(user,false);
    else
        errorMsg.Text = "Sorry,yours seems not to be a valid account.";

 对用户进行身份验证：   

private   bool  AuthenticateUser( string  username,  string  pswd)
     {
        // Performs authentication here 
        string connString = ConfigurationManager.ConnectionStrings["LocalNWind"].ConnectionString;
        string cmdText = "SELECT COUNT(*) FROM employees WHERE firstname=@user AND lastname=@pswd";

        int found = 0;
        using (SqlConnection conn = new SqlConnection(connString))
        {
            SqlCommand cmd = new SqlCommand(cmdText, conn);
            cmd.Parameters.Add("@user", SqlDbType.VarChar, 10).Value = username;
            cmd.Parameters.Add("@pswd", SqlDbType.VarChar, 20).Value = pswd;
            conn.Open();
            found = (int)cmd.ExecuteScalar();
            conn.Close();
        }
        return (found > 0);
    }

  

 强密码支持：

            

SELECT   COUNT ( * )  FROM  employees  WHERE
     CAST ( RTRIM (firstname)  AS   VarBinary ) = CAST ( RTRIM ( @user )  AS   VarBinary )
     AND
     CAST ( RTRIM (lastname)  AS   VarBinary ) =   CAST ( RTRIM ( @paswd )  AS   VarBinary )

 

窗体身份验证的配置

　　 １、<forms>节

　

< forms name = " cookies "  loginUrl = " url "  
protection = " All|None|Encryption|Validation "  
timeout = " 30 "  requireSSL = " true|false "  path = " / "
 slidingExpiration = " true|false "  
 enableCrossAppsRedirects = " true|false "
 cookieless = " UseCookies|useUri|AutoDetect|UseDeviceProfile "  defaultUrl = " url "  domain = " string " >
</ forms >

Asp.NET2.0中的无cookie窗体身份验证

      对一个经过身份验证的用户，为他提供服务的页面的ＵＲＬ，遵循如下所示的模式：

http: // YourApp/(F(XYZ1234))/samples/default.aspx

票被正确地编码成一个符合ＵＲＬ标准的字符，并正好插入ＵＲＬ中的服务器名称后面。无cookie身份验证要求用一个ＩＳＡＰＩ筛选器来截取该请求，提取票据，并把正确的路径重新写入应用程序。该筛选器还作为另一个请求头提供身份验证票据。使用aspnet_filter.dll组件来解析URL。为了避免混淆，URL中填充的每种额外信息用惟一的限定符进行封装：会话ID用S(...)，身份验证票据用F(...)。筛选器提取URL装饰，并把票据信息放入一个名为AspAuthenticationTicket的头中。

　　窗体验证是不安全的。１、用户票据以明文的形式发出，ＳＳＬ可以用来保护通信，但是最终，窗体身份验证和ＩＩＳ基本身份验证一样弱。所以一个盗取的身份验证cookie只要它有效，那就可以用来计划重放攻击。但是如果使用无cookie解决方案则无法解决此问题。

　　窗体身份验证基于程序代码。可以在程序代码级加强身份验证。这可以用Asp.NET2.0的成员资格API来加强。

　　 所以综上所述，Microsoft的窗体验证方式还是不安全的，尽管可以在代码级加强程序的安全性，但是你的基础是脆弱的，就像楼下开着门，你加固楼上的窗户来防小偷一样的，觉得很可笑的。所以还是要加强对于窗体身份验证的票据的保护的问题。如果使用　cookies可以用缩短其有效期，比如说立即过期来加强；如果不是用cookies，那么既使加密了也是没有办法的，这可以自己做一个加密的的函数来执行。在程序中采用一种计算方法，到那边再进行验证。