ASP.NET 之Form安全认证

一、使用Form认证的一般设置

      <!--Form认证设置Start-->
      <authentication mode="Forms">
        <forms name=".FrameWork" defaultUrl="Default.aspx" loginUrl="Login.aspx" enableCrossAppRedirects="true" path="/"></forms>
      </authentication>
      <authorization>
        <deny users="?"/>
        <!--allow users="*"/-->
      </authorization>
      <!--Form认证设置End-->

     以上在登录站点时将不允许匿名登录。

二、一般目录可匿名访问的文件

   可在configuration节点内做如下设置：      

<!-- 排除不需要验证的目录或文件-->
  <location path="Messages.aspx">
    <system.web>
      <authorization>
        <allow users="*"/>
      </authorization>
    </system.web>
  </location>

三、转网友介绍的方法，比较简单易懂

登录时，如下操作：

（1）        

 private void Btn_Login_Click(object sender, System.EventArgs e)

         {

              if(this.Txt_UserName.Text=="Admin" && this.Txt_Password.Text=="123456")

              {

     System.Web.Security.FormsAuthentication.RedirectFromLoginPage(this.Txt_UserName.Text,false);

     }

}

（2）    

private void Btn_Login_Click(object sender, System.EventArgs e)

         {

              if(this.Txt_UserName.Text=="Admin" && this.Txt_Password.Text=="123456")

              {

System.Web.Security.FormsAuthentication.SetAuthCookie(this.Txt_UserName.Text,false);

     Response.Redirect("Default.aspx");

     }

}

以上两种都可发放验证后的Cookie，即通过验证，区别：

方法 a) 指验证后返回请求页面，俗称“从哪来就打哪去”。比如：用户没登录前直接在 IE 地址栏输入http://localhost/FormTest/UserInfo.aspx，那么该用户将看到的是Login.aspx?ReturnUrl=UserInfo.aspx，输入用户名与密码登录成功后，系统将根据“ReturnUrl”的值，返回相应的页面

方法 b) 则是分两步走：通过验证后就直接发放Cookie，跳转页面将由程序员自行指定，此方法多用于Default.aspx 使用框架结构的系统。

退出登录时，如下操作：

private void Btn_LogOut_Click(object sender, System.EventArgs e)

     {

System.Web.Security.FormsAuthentication.SignOut();

}

四、如何判断验证与否及获取验证后的用户信息

有的时候，在同一张页面需要判断用户是否已经登录，然后再呈现不同的布局。

if(User.Identity.IsAuthenticated)

         {

              //你已通过验证

              //用户操作代码

}

User.Identity 还有两个属性AuthenticationType（验证类型）与 Name（用户名称）

五、使用web.config

    应用程序的每个目录都可以新建一个web.config，它可“继承”并“重写”根目录的web.config设置内容。

<? xml version ="1.0" encoding ="utf-8"?>

< configuration >

< system.web >

< authorization >

< allow users ="Admin"/>

< deny users ="*"/>

</ authorization >

  </system.web>

</ configuration >