復制代碼 代碼如下:

<configuration>
<system.web>
<authentication mode="Forms">
<forms loginUrl="Login.aspx" protection="All" timeout="30" path="http://www.49028c.com/" />
</authentication>
<authorization>
<deny users="?" /> <!—拒絕匿名 -->
</authorization>
......
</system.web>
<location path="Admin"><!—配置授權,只允許擁有Admins角色的用戶訪問這個目錄下的文件（＊.ａｓｐｘ）-->
<system.web>
<authorization>
<allow roles="Admins"/><!—雖然下面配置為拒絕所有用戶,但是allow的優先級比deny高.-->
<deny users="*" /><!—拒絕所有用戶 -->
<!—
一個用戶或角色必須特別指定為拒絕,才能拒絕該用戶或角色對URL的權限.如果上面的示例沒有指定<deny users="*" />元素,則將允許所有通過身份驗證的用戶訪問所請求的 URL,而不考慮其所屬的角色.
-->
</authorization>
</system.web>
</location>
</configuration>

上面代碼又調用了AuthorizationConfigRule::IsUserAllowed方法,截圖如下:

ASP.NET2.0你仍可以用這樣的機制,但又增加新特性.下面就看看在ASP.NET2.0中是如何實現的吧!

ASP.NET 2.0 實現方式

l         應用程序配置新增屬性

<system.web>

 <authentication mode="Forms">

       //defaultUrl是ASP.NET2.0版本新增的屬性, 在驗證模型重定向URL時將重定向到的URL.默認值為"default.aspx".

//雖然ASP.NET1.1版本沒有該屬性,但程序中的默認為"default.aspx".還是ASP.NET2.0的配置更為靈活.

    <forms loginUrl="logon.aspx" protection="All" path="http://www.49028c.com/" defaultUrl="Index.aspx"></forms>

 </authentication>

 <authorization>

    <deny users="?" />/*匿名用戶*/

 </authorization>

</system.web>

l         使用成員資格驗證登錄

l         使用角色管理進行訪問授權

1.         啟用角色管理

<roleManager enabled="true" cacheRolesInCookie="true" />

cacheRolesInCookie

推薦代碼:

if(Membership.ValidateUser(username, password)){

 Roles.DeleteCookie();

 FormsAuthentication.RedirectFromLoginPage(username, false);

}

2.         配置成員與角色

在安全選項卡內有管理用戶與角色的內容,如下圖:

本示例創建了一個用戶”iori”與一個角色”Admins”,并且指定了該用戶是Admins角色的成員.

另外該工具還會自動創建本地數據庫(如果還沒創建).與它相關的配置在machine.config文件中指定,如下圖所示,你可以更改數據庫的文件名,默認為”aspnetdb.mdf”.

l         ASP.NET 2.0 安全模型驗證授權的原理

1.          驗證原理

2.         授權原理

.,RolePrincipal對象.

,代表安全模塊已建立了用戶標識,所以在這個事件中使用用戶標識重新生成RolePrincipal對象.

下面為委托代碼的節選.

......//省略若干代碼

HttpApplication application = (HttpApplication) source;

HttpContext context = application.Context;

if (this._eventHandler != null)

{

     RoleManagerEventArgs e = new RoleManagerEventArgs(context);

     this._eventHandler(this, e);

     if (e.RolesPopulated)

     {      

              /*

        void RoleManager_GetRoles(object sender, RoleManagerEventArgs e)

        {

            if (e.Context.Request.IsAuthenticated)

            {

(e.Context.User.Identity.Name), new string[] { "Admins" });

                e.RolesPopulated = true;

            }

        }

              */

              return;

     }

}

......

if (!(context.User is RolePrincipal))

{

     context.User = new RolePrincipal(context.User.Identity);

}

Thread.CurrentPrincipal = context.User;

被觸發.