SQL Server的安裝有兩個關于安全模式的選項。它們之間的差別在于由哪一個軟件執行認證過程。認證是一個確認將要連接SQL Server的用戶身份的過程。一旦執行了認證，SQL Server就能驗證這個用戶是否具有許可來連接一個被請求的資源，例如一個數據庫。如果用戶具有連接數據庫的許可，那么SQL Server將允許連接請求成功，否則，連接失敗。這個驗證用戶許可的過程還被稱為授權。

　　· Windows Authentication(還被稱為Trusted Authentication或者Integrated Security)使用進行連接請求過程的Windows用戶身份來執行對數據庫的授權。在這種情況下，連接字符串不必提供顯式的用戶名和密碼。asp.net以一個名為"ASPNET"的本地用戶來運行(或者在IIS 6.0當中使用用戶名"Network Service")，所以當使用Windows Authentication時，SQL將會檢查這個用戶是否擁有使用數據庫的許可。此時，所有的ASP.NET應用程序都用這個相同的用戶運行，所以該安全模式對這些應用程序一視同仁。雖然可以在單獨的ASP.NET進程中運行每一個應用程序(單獨的用戶運行每個程序)，或者可以模擬進行連接請求的瀏覽器客戶的Windows用戶身份，但是這些內容都超出了本書所要講述的范圍。不過，客戶模擬的情況在Web應用程序中是Windows Authentication最常見的使用方式。

　　· SQL Authentication針對在SQL Server內配置的用戶來檢查顯式提供的用戶名和密碼(無需涉及操作系統)。在這種情況下，在ASP.NET進程中運行的每個應用程序都能以單獨的證書來連接數據庫，這樣就把應用程序合理地隔離開了(應用程序A如果沒有B的用戶名和密碼就不能連接至B的數據庫)。這是用于部署的Web應用程序的最常見認證模式，特別是在共享宿主的情況下。它的一個小缺點就是需要應用程序保留用于連接的用戶賬戶的密碼，并且如果該密碼被惡意用戶獲取，那么將危及數據庫的安全。但是，在本書后面將會看到，ASP.NET提供了一個安全的方式，將SQL Authentication密碼以加密的格式保存在Web.config文件中，這樣就降低了密碼被獲取的風險。

　　· Mixed Mode是SQL Server的配置，它既允許Windows Authentication，也允許SQL Authentication。

　　在安裝SQL Server或者SSE時，要選擇一種認證模式。在SQL Server中，有向導會在安全步驟中幫助選擇，而在SSE中，默認選擇是Windows Authenti cation。如果要安裝SQL Authentication，就必須顯式地配置。本文使用的是Windows Authentication。

　　如果已經安裝了SQL Server或者SSE，就能通過打開RegEdit來查看所指定的認證模式(當然需要先備份)，找到HKey_Local_Machine/Software/Microsoft/Microsoft SQL Server并搜索LoginMode。值為1的注冊子鍵表示Windows Auth entication，而值2表示Mixed Authentication模式。

　　表3-1總結了這些模式之間的區別。

　　表3-1