ASP.NET系统用户权限设计与实现（转摘）

引言     电子商务系统对安全问题有较高的要求，传统的访问控制方法DAC（Discretionary Access Control，自主访问控制模型）、MAC（Mandatory Access Control，强制访问控制模型）难以满足复杂的企业环境需求。因此，NIST（National Institute of Standards and Technology，美国国家标准化和技术委员会）于90年代初提出了基于角色的访问控制方法，实现了用户与访问权限的逻辑分离，更符合企业的用户、组织、数据和应用特征。ASP.NET是微软为了抗衡JSP而推出的新一代ASP（Active Server Pages）脚本语言，它借鉴了JSP的优点，同时它又具有自身的一些新特点。      本文将首先介绍ASP.NET的基本情况和RBAC（Role Based Access Control）的基本思想，在此基础上，给出电子商务系统中实现用户权限控制的一种具体方法。     ASP.NET概述     1、ASP.NET     ASP.NET是微软流行的动态WEB编程技术活动服务器网页（ASP）的最新版本，但它远不是传统ASP简单升级。ASP.NET和ASP的最大区别在于编程思维的转换，ASP.NET是真正的面向对象（Object-oriented），而不仅仅在于功能的增强。     在ASP.NET中，Web 窗体页由两部分组成：视觉元素（HTML、服务器控件和静态文本）和该页的编程逻辑。其中每一部分都存储在一个单独的文件中。可视元素在一个扩展名为 .aspx 文件中创建，而代码位于一个单独的类文件中，该文件称作代码隐藏类文件扩展名为.aspx.vb 或 .aspx.cs。这样，.aspx文件中存放所有要显示的元素，aspx.vb或.aspx.cs文件中存放逻辑。     2、用户控件（UserControl）     为了使用户能够根据需要方便地定义控件，ASP.NET引入了 Web 窗体用户控件的概念。实际上，只要将.aspx稍作修改即可转换为 Web 用户控件，扩展名为 .ascx，.ascx和.aspx文件一样也有一个存放逻辑的代码隐藏类文件，扩展名为.ascx.vb或.ascx.cs，只是它不能作为独立 Web 窗体页来运行，只有当被包含在 .aspx文件中时，用户控件才能工作。     通过以下两个步骤在WEB窗体页中设置用户控件：     （1）使用@ Register指令在.aspx文件中注册用户控件。如要注册在放在相对路径“../UserControl/”下的头文件headinner.ascx的方法为： ＜%@ Register TagPrefix="Acme" TagName="Head" Src="../UserCo