使用更精簡的代碼保證 ASP.NET 應用程序的安全

2024-07-10 12:57:39

字體：大中小

來源：轉載

供稿：網友

使用更精簡的代碼保證 asp.net 應用程序的安全
michele leroux bustamante
idesign:.net design and business solutions

2003 年 10 月

適用于：
microsoft® asp.net whidbey

摘要：學習 asp.net whidbey 及其新的配置工具、控件和組件如何支持用于驗證用戶和管理受保護資源的完整系統。

下載 aspnetwhidbeysecuritysample.msi。（請注意，在示例文件中，程序員的注釋使用的是英文，本文中將其譯為中文是為了便于讀者理解。）

目錄
直觀易用的功能
配置界面
拖放安全控件
按角色過濾內容
成員身份和角色提供程序
但是，這個程序是可擴展的嗎？
小結

注意：相應的軟件產品正式發行之前，本文檔已經撰寫完畢，所以我們不能保證本文檔內涉及的細節與最終產品完全一致。文中信息描述的是本文檔發布之時的產品，僅供在規劃時參考之用。如有更改，恕不另行通知。
我編譯了許多 microsoft® asp.net 應用程序，例如客戶端應用程序和原型、我自己不斷增長的站點和幫助不會編程的家人和朋友所開發的站點，以及文章、演示文稿和培訓課程的代碼。我經常發現自己在編譯每個應用程序時，總有某些重復的任務要做，這其中很大一部分是定義驗證模型。保護應用程序資源幾乎是設計任何應用程序時必不可少的一項工作。asp.net 1.x 讓事情變得簡單了些，它提供了一個頗為簡單和安全的、基于表單的驗證進程，但您仍要糾纏于角色管理和其他工作之中。如果每設計一個新登錄表單可以掙 5 美分，那么我現在至少已經掙了 10 多美元，算一算，我設計了多少個表單。即將發行的新版本 asp.net 的開發代號是“whidbey”（與即將發行的新版本 microsoft® visual studio® .net 的開發代號一致），它提供了許多新的配置工具、控件和組件，以支持用于驗證用戶和管理受保護資源的完整系統。這些新功能十分直觀易用，即使您的祖母也能在一天內構建一個安全站點。

直觀易用的功能
按照傳統做法，為新 web 站點構建一個驗證模型通常包括以下步驟：

收集受保護資源和活動的要求，并定義適當的角色和權限。
設計關系數據庫表，以存儲用戶、角色及相關權限。
設計登錄頁面。
編寫代碼，以驗證用戶并收集關聯的角色和權限。
添加配置，以基于角色來保護 web 資源。
編寫代碼，以基于角色和權限來控制頁面內容。
即使只是構建幾個可重復使用的組件來封裝上述某些重復性任務，您仍會感到肩上的工作負擔減輕了不少。asp.net whidbey 的新組件大大減少了上述步驟中的五個步驟的工作量，至少將其減少為了原來工作量的一部分。我將使用新的基于 web 的管理向導來自動創建一組表，以處理用戶、角色和權限。在同一個管理界面中，我還會就登錄、成員身份和角色管理對應用程序進行配置。我將在一秒鐘（或者說僅僅是在 web 表單中拖放一個登錄控件的時間）之內設計出一個登錄頁面，而且我根本不用編寫一行用于驗證用戶或關聯角色的代碼，因為這些會自動完成。根據用戶角色和登錄狀態的不同，呈現的菜單和頁面內容也將不同，但我同樣無需為此編寫任何代碼。

是不是有夢想成真的感覺？讓我們看看這是如何實現的。

配置界面
asp.net whidbey 包括一個新的基于 web 的配置工具，它運行于特定應用程序的上下文中，這樣便可以通過交互的方式來修改應用程序自身的 web.config 文件。該工具帶有許多向導，其中一個可以引導您完成設置安全選項的全部步驟。使用 visual studio“whidbey”完成新 web 站點的創建后，您可以通過兩種方法啟動該配置工具：從“solution explorer”（解決方案資源瀏覽器）中選擇“asp.net configuration”（asp.net 配置）圖標或從“website”（站點）菜單中選擇“asp.net configuration”（asp.net 配置）。

圖 1：從“solution explorer”（解決方案資源瀏覽器）或主菜單啟動基于 web 的配置實用工具。

配置 web 界面啟動時會顯示一個查詢字符串，指示要配置的應用程序目標。在本文中，我創建了一個名為“mysecurenewsletter”的新應用程序，并啟動了管理界面，如下所示：

圖 2：在我的計算機上啟動管理界面的 url 是 http://localhost:10245/asp.netwebadminfiles/default.aspx?applicationphysicalpath=h:/websites/mysecurenewsletter/&applicationurl=/mysecurenewsletter。

“security”（安全）選項卡中的一個選項是運行“security setup wizard”（安全設置向導）。對于一個新應用程序，應當首先運行該向導。向導界面的左側面板顯示了將要逐步執行的步驟列表，并指出您當前所在的步驟：

圖 3：安全設置向導使用 asp.net whidbey 的某些其他很酷的功能，例如用于導航的向導控件。

設置過程中的步驟非常簡單，所以在此僅概述我為示例應用程序所選的選項。首先，向導詢問我該站點是 intranet 站點還是 internet 站點。前者默認使用 windows 驗證，后者（也是我的選擇）將把應用程序配置為使用表單驗證。下一步，向導顯示創建數據庫以存儲用戶和角色的選項。如果選擇此選項，向導將詢問我是選擇創建 microsoft access 數據庫還是創建 microsoft sql server™ 數據庫，然后引導我完成幾個附加的步驟。我沒有選擇這個選項，所以在應用程序的 /data 目錄下將創建一個默認的 access 數據庫。在 machine.config 文件中，<connectionstring> 元素指定了 access 數據庫的默認位置：

<connectionstrings>
<add name="localsqlserver" connectionstring="data
source=127.0.0.1;integrated security=sspi" />
<add name="accessfilename"
connectionstring="~/data/aspnetdb.mdb" />
</connectionstrings>

下一步，我啟用了該應用程序的角色管理。此時，將創建帶有大量表格的默認 access 數據庫，并且最終將由新的安全控件和成員身份 api 來使用這些表。此時，我可以選擇創建角色和用戶。創建每個角色時都需要使用簡單的字符串值，如下所示：

圖 4：界面左側的向導面板顯示我正在對應用程序的安全模型執行哪一步設置。

要創建用戶，需要設想一下您可能希望為每個用戶收集哪些字段，特別是用戶名、密碼、電子郵件、說明和可選密碼問題及答案。如果已創建了任何角色，則這些角色顯示為復選框選項的形式以供選擇：

圖 5：此處輸入的電子郵件字段以后將用于與用戶進行交互，例如在用戶取回密碼時。

通過以上幾個簡單的步驟，我們已在 /data 目錄下創建了一個新數據庫（文件名為 aspnetdb.mdb），用于存儲成員身份信息。刷新“solution explorer”（解決方案資源瀏覽器）以后，您還可以看到已創建了一個 web.config 文件，用于啟用 <rolemanager> 設置中的角色管理。這一步是必需的，因為 machine.config 中的默認設置是禁用角色管理。新的 web.config 文件如下所示：

<?xml version="1.0" encoding="utf-8"?>
<configuration>
<system.web>
<rolemanager enabled="true">
<providers />
</rolemanager>
</system.web>
</configuration>

在以上數個簡短的步驟中，我創建了標準的成員身份和憑據管理數據庫，角色和用戶也創建完畢，并完成了角色管理必需的 web 配置，現在我們就可以構建一個安全的應用程序了。

如果沒有在第一次配置過程中完成角色和用戶的創建，您可以隨時返回到該配置工具輸入或修改設置，但我現在將演示如何創建自己的管理頁面。

拖放安全控件
到文章的本節為止，您依然不需要編寫任何代碼。我將演示如何使用 asp.net whidbey 的新安全控件來生成一個基于角色的可行的驗證系統。我將從我的示例電子通訊應用程序 mysecurenewsletter 開始。目前，除了我剛剛在向導中完成的步驟以外，尚未生成任何安全模型。順便說一句，這個應用程序使用了 whidbey 新的“母版頁”功能。關于該功能的詳細信息，請參閱 master pages in asp.net whidbey（英文）。在“solution explorer”（解決方案資源瀏覽器）中，您將看到 /templates 目錄下包含可重復使用的用戶控件和母版頁模板，而 /images 目錄存儲所有支持圖形，根目錄下則有一些應用程序頁面。

圖 6：示例應用程序中的所有 *.aspx 頁面都將使用一個母版頁作為布局模板。內容頁面和 web 表單頁面一樣，但前者指定了母板頁模板，且所有的內容都放在內容控件中。

登錄
添加名為 login.aspx 的新內容頁面以后，我們可以開始享受些樂趣了。“toolbox”（工具箱）帶有“security”（安全）選項卡，其中列出了 asp.net whidbey 中與安全性相關的非常酷的新控件。

圖 7：“toolbox”（工具箱）已經針對 asp.net whidbey 進行了重新組織，新的安全控件將集中到它們自己的選項卡上。

我將從剛剛拖放到新的 login.aspx 頁面上的“login”（登錄）控件開始，一個個地瀏覽這些安全控件：

圖 8：登錄控件提供了編輯控件默認布局的交互式設計器界面。

您可以選擇某一個“autoformat”（自動套用格式）選項來為控件外觀選擇一個已封裝的格式：

圖 9：目前有兩個已封裝格式可用，但如果應用程序使用了默認樣式表，您還可以通過“properties”（屬性）窗口為控件的各個元素指定樣式。

“properties”（屬性）窗口還提供了對控件各個元素的標記、值和驗證錯誤消息的訪問。您也可以自定義登錄按鈕的外觀，并提供創建新成員的鏈接。現在，讓我們看看使用可信任的樣式表和控件默認選項會生成些什么。控件生成的源代碼如下所示：

<asp:login id="login1" runat="server">
</asp:login>

這樣，我的登錄頁面就完成了。因為我已經配置了應用程序的用戶和角色，所以我僅需修改 web.config 文件，把驗證模式設置為“forms”（表單），因為默認方式是“windows”驗證。同時，為了測試登錄進程，我還將拒絕匿名用戶：

<authentication mode="forms"/>
<authorization>
<deny users="?" />
</authorization>

注意：我早先曾提及安全設置向導將應用程序配置為使用表單驗證，該向導是通過生成默認數據庫以存儲憑據來完成該配置的。該向導并不是（在 whidbey alpha 版本中）通過修改應用程序的 web.config 文件中的 <authentication> 設置來指定如上所示的表單驗證模式。
現在，系統將引導所有的匿名用戶前往登錄頁面（幸好使用了母版頁和樣式表，在花了一秒鐘將登錄控件拖動到表單后，這個頁面看起來還過得去）：

圖 10：在沒有修改任何屬性的情況下，這是在頁面模板中顯示的登錄控件的默認外觀。

誰已經登錄了？
如果輸入了有效的用戶名和密碼，“log in”（登錄）按鈕將自動驗證用戶，并將其重定向到最初請求的頁面。當然，登錄以后，習慣上要為用戶顯示個性化的歡迎頁面，并提供注銷的途徑。我將把這兩個功能添加到顯示在每個頁面中的 menus.ascx 用戶控件。“loginname”（登錄名）控件顯示了已驗證的用戶名，而“loginstatus”（登錄狀態）控件則提供了一個方便的超級鏈接，它會根據當前驗證狀態，在登錄和注銷操作之間切換。以下是將這兩個新控件添加到 menus.ascx 文件的適當位置后的 html 源代碼：

當前您已登錄為: <asp:loginname id="loginname1"
runat="server"></asp:loginname>

<asp:loginstatus id="loginstatus1" runat="server">
</asp:loginstatus>

噢，這太粗略了。現在有了登錄頁面，讓我們看看用戶登錄以后顯示的個性化歡迎頁面，同時我們還為用戶提供了注銷的途徑，所有這些都不需要編寫代碼。

圖 11：在 login（登錄）/logout（注銷）之間切換

登錄名控件只執行一個任務：顯示已驗證用戶的名稱。默認情況下，登錄狀態控件自動在 login（登錄）/logout（注銷）之間切換，但可以使用模板進一步自定義。注銷的實際進程也由該控件進行封裝。

關于此個性化歡迎頁面的唯一問題是：在登錄之前，頁面會顯示空白用戶名，我們可能需要編寫一些代碼來控制這一部分。不過，也許我們同樣可以不用編寫代碼就能做到。

控制對內容的訪問
如果使用以前的 asp.net 版本來顯示當前已驗證的用戶，我們需要編寫代碼來訪問當前上下文的用戶標識。要僅在用戶驗證后顯示該信息，還需要編寫更多的代碼來檢查用戶的狀態。“loginview”（登錄視圖）控件可能是最有意思的新安全控件之一，它讓我們能夠基于驗證狀態和角色來控制頁面內容。為了檢驗這一點，我向 menu.ascx 文件添加了一個登錄視圖控件。通過與設計環境進行交互，您可以編輯希望匿名用戶（尚未登錄）或已驗證用戶所看到的信息。

圖 12：“common loginview tasks”（通用登錄視圖任務）使您可以在視圖之間切換，或通過單擊“edit templates”（編輯模板）超級鏈接開始編輯模板。

您始終可以通過“source”（源文件）視圖直接修改 html。以下代碼顯示了向 menus.ascx 文件的個性化歡迎頁面中添加登錄視圖控件時所做的修改：

<asp:loginview id="loginview1" runat="server">
<anonymoustemplate>
您目前尚未登錄。
</anonymoustemplate>
<loggedintemplate>
當前您已登錄為：<asp:loginname id="loginname1"
runat="server">
</asp:loginname>
</loggedintemplate>
</asp:loginview>

登錄視圖控件在用戶尚未通過驗證時顯示 <anonymoustemplate> 節的內容，用戶通過驗證后顯示 <loggedintemplate> 節的內容。所以，沒有編寫任何代碼，我們已利用安全控件為用戶提供了登錄頁面、注銷功能、個性化歡迎頁面和基于驗證狀態的自定義頁面內容。

什么？忘記了密碼？
您肯定會覺得難以置信，自動管理密碼就是如此簡單。“passwordrecovery”（密碼取回）控件提供了功能完善的密碼取回系統，包括基于密碼問題查找密碼以及自動重設密碼，并通過電子郵件將密碼發送給用戶。我在應用程序根下創建了密碼取回頁面，在將密碼取回控件拖放到頁面后，我看到了以下內容：

圖 13：“common passwordrecovery tasks”（通用密碼取回任務）使您可以自定義該過程中的每一步驟的外觀。

密碼管理設計的大量活動都是可以配置的。例如，您可以要求用戶創建密碼問題和答案，并將其作為密碼安全模型的一部分。passwordrecovery 控件包括這樣一個界面，要求用戶回答他們在創建帳號時提供的密碼問題。如下所示，您可以編輯密碼取回的每一部分的設置，包括請求用戶名、詢問密碼問題，以及完成該過程后顯示對用戶的響應。

圖 14：密碼問題和答案的形式可由成員身份提供程序（本文稍后將介紹）進行配置。

此控件自動重設密碼，并將新密碼發送到用戶的電子郵件帳號。生成的電子郵件的屬性可通過控件的公共屬性進行配置。在示例程序中，我自定義了電子郵件的主題標題和發件人的地址。所生成的 html 如下所示：

<asp:passwordrecovery id="passwordrecovery1" runat="server">
<maildefinition bodyformat="html" subject="password recovery for
mysecurenewsletter" from="mailto:[email protected]">
</maildefinition>
</asp:passwordrecovery>

如果正確地配置了用于發送電子郵件的 smtp 服務器，我將接收到包含新密碼的電子郵件：

圖 15：通過在“properties”（屬性）窗口中設置“bodyfilename”和“bodyformat”屬性，可以提供電子郵件的 html 模板。

在示例中，我使用自己的 smtp 服務器測試了該功能，而您將在 web.config 文件中看到 smtp 設置的這個示例：

<smtpmail
servername="smtp.mysmtpserver.com"
serverport="25">
</smtpmail>

這是一個奇妙的功能，為處理密碼管理提供了快速的安全方案。但對于大型站點，您很可能希望進一步了解組件的體系結構。例如，您希望確保生成電子郵件的組件具有可伸縮性，您還可能想編寫一些代碼來控制如何通過電子郵件向成員發送密碼：也許是提供對顯示解密密碼的已過期 web 頁面的鏈接。

按角色過濾內容
大多數應用程序依賴角色來控制對資源的訪問、信息顯示方式和可允許的活動。此前，我創建過許多用戶，并使用安全管理工具來為其指定角色。如果是在 asp.net 的以前版本中使用這些角色，我就得編寫代碼，以從已驗證的用戶的憑據存儲中手動檢索角色。loginview 控件通過配置的成員身份提供程序（或者是成員身份 api）與這些角色進行交互，并支持為任何有效角色提供內容模板。

假定我將把一組僅能由管理員訪問的管理頁面添加到應用程序。如果向標題中一個“admin”（管理）菜單項，我很可能希望其僅對管理員顯示。為了實現這一點，我將把另一個登錄視圖控件添加到菜單界面。loginview 控件的某個屬性（可通過“properties”[屬性] 窗口訪問）支持通過對話框界面將角色列表添加到“rolegroups”（角色組）集合：

圖 16：“rolegroup collection editor”（角色組集合編輯器）要求手動輸入角色。您也可以為角色編組，這樣多個組可以共享同樣的模板界面。

在“design”（設計）視圖中，loginview 控件現在將角色列表顯示為模板選項：

圖 17：“html”視圖將更新，顯示您為每個角色所設計的所有模板。

從以下 html 源文件中可以看出，“admin”（管理）和“member”（成員）角色使用了新的內容模板。在驗證以前仍將使用 <anonymoustemplate>，但驗證以后，將使用與某個用戶角色匹配的第一個模板。如果未找到匹配項，默認使用 <loggedintemplate> 設置。

<asp:loginview id="lvmenu" runat="server">
<anonymoustemplate>
<asp:loginstatus id="anonloginstatus" runat="server">
</asp:loginstatus>
</anonymoustemplate>
<rolegroups>
<asp:rolegroup roles="admin">
<contenttemplate>
<tr>
<td class="othertabs">
<asp:hyperlink id="adminhome" runat="server"
navigateurl="~/default.aspx">home</asp:hyperlink>
 | </td>
<td class="othertabs">
<asp:hyperlink id="adminabout" runat="server"
navigateurl="~/about.aspx">about</asp:hyperlink>
 | </td>
<td class="othertabs">
<asp:hyperlink id="adminadmin" runat="server"
navigateurl="~/admin/managemembers.aspx">admin
</asp:hyperlink> | </td>
<td class="othertabs">
<asp:loginstatus id="adminloginstatus" runat="server">
</asp:loginstatus>
</td>
</tr>
</contenttemplate>
</asp:rolegroup>
<asp:rolegroup roles="member">
<contenttemplate>
<tr>
<td class="othertabs">
<asp:hyperlink id="memberhome" runat="server"
navigateurl="~/default.aspx">home</asp:hyperlink>
 | </td>
<td class="othertabs">
<asp:hyperlink id="memberabout" runat="server"
navigateurl="~/about.aspx">about</asp:hyperlink>
 | </td>
<td class="othertabs">
<asp:loginstatus id="memberloginstatus" runat="server">
</asp:loginstatus>
</td>
</tr>
</contenttemplate>
</asp:rolegroup>
</rolegroups>
<loggedintemplate>
<tr>
<td class="othertabs">
<asp:hyperlink id="authhome" runat="server"
navigateurl="~/default.aspx">home</asp:hyperlink>
 | </td>
<td class="othertabs">
<asp:hyperlink id="authabout" runat="server"
navigateurl="~/about.aspx">about</asp:hyperlink>
 | </td>
<td class="othertabs">
<asp:loginstatus id="authloginstatus" runat="server">
</asp:loginstatus>
</td>
</tr>
</loggedintemplate>
</asp:loginview>

將按照顯示的順序分析這些模板，并將第一個匹配的角色用作該登錄控件的內容。這意味著必須仔細地為角色安排適當的順序。我的示例程序的結果是將新的“admin”（管理）菜單項限制為只對分配了管理角色的用戶顯示。

我們還可以指定 <authorization> 規則拒絕或允許特定的角色，從而實現使用角色來控制對其他資源的訪問。可以使用 <location> 標記在 web.config 文件的應用程序級別實現這一點，或是將 web.config 文件添加到受保護的子目錄。我在示例程序的 /admin 目錄下放置了以下 <authorization> 設置，只允許那些指定為管理角色的用戶訪問：

<authorization>
<allow roles="admin" />
<deny users="*" />
</authorization>

現在，可以創建一些管理頁面來管理成員，并根據 asp.net whidbey 提供的成員身份 api 來編寫代碼。

成員身份和角色提供程序
至此，我所顯示的大多數內容都是基于使用新的安全控件。但是，有一些基礎組件允許我們直接管理用戶和角色。這些組件提供了從數據庫訪問層抽象而來的層。為了進行演示，我將在 /admin 目錄下創建一個新的內容頁面 (managemembers.aspx)。該頁面將顯示電子通訊成員的列表，并提供了一個中心界面，用于添加、編輯或刪除電子通訊成員。

我將“dataview”（數據視圖）控件拖放到頁面中，目的是使用用戶列表填充此控件。page_load 事件包含了利用內部成員身份對象檢索所有用戶的代碼。新的 membership 類的方法和屬性提供了對默認創建的成員身份數據庫的直接訪問。例如，getallusers() 返回了應用程序的 membershipuser 對象的集合。以下代碼將返回的集合轉換為可以綁定到 dataview 控件的格式（用于 alpha 版本的解決方案，因為該版本中不能綁定集合）：

membershipusercollection members = membership.getallusers ();
arraylist arr = new arraylist ();
foreach (membershipuser member in members)
{
arr.add (member);
}

gridview1.datasource = arr;
gridview1.databind ();

在該頁面中，用戶可以添加、編輯或從列表刪除成員。刪除鏈接需僅執行以下代碼行：

membership.provider.deleteuser(user);

添加和編輯成員由所創建的另一個新頁面 (newmembers.aspx) 來處理。添加新成員時，該頁面收集要添加到成員數據庫的新成員的必需信息。就我的電子通訊而言，我將收集新成員的電子郵件地址和密碼，僅此而已。但是，數據庫支持一個用戶名和一個電子郵件地址，所以我同時使用電子郵件地址來填充這兩個字段。此外，我將收集新用戶的角色選擇。這意味著我必須編寫代碼，以動態列出應用程序中所有可用的角色。

page_load 事件包含用于加載可用角色的代碼。我將使用“repeater”控件來動態構建一個復選框列表（與安全配置向導中的列表類似）。

// 從 newmember.aspx
<asp:repeater runat="server" id="rolerepeater">
<itemtemplate>
<asp:checkbox runat="server" id="chkrole"
text='<%# container.dataitem.tostring()%>'
checked="<%# m_theuser == null ? false :
roles.isuserinrole(m_theuser.username,
container.dataitem.tostring())%>"/>
<br/>
</itemtemplate>
</asp:repeater>

// 從 newmember.aspx.cs
rolerepeater.datasource = roles.getallroles ();
rolerepeater.databind ();

所生成的輸入頁面如下所示：

圖 18：您也可以為自己的成員管理進程添加重設密碼、更改密碼和密碼問題及答案功能。

我必須手動設計該頁面，但其中添加新用戶所需的代碼很少，因為可以再次使用成員身份組件：

membership.createuser(email.text, pw.text, email.text);

我們需要多編寫幾行代碼，以從 repeater 控件中提取角色選擇，然后用該用戶的提取結果填充角色表。同樣，訪問角色數據庫是很容易的，這次使用的是“roles”（角色）組件：

string[] users = {email.text};
string[] addroles = new string[rolerepeater.items.count];
string[] remroles = new string[rolerepeater.items.count];
int addindex = 0;
int remindex = 0;

foreach (repeateritem itm in rolerepeater.items)
{
checkbox c = (checkbox)itm.findcontrol ("chkrole");
string role = c.text;

if (c.checked && !roles.isuserinrole(users[0], role))
addroles[addindex++]=role;
else if (!c.checked && roles.isuserinrole(users[0], role))
remroles[remindex++]=role;
}

if (addindex > 0)
{
string [] theroles = new string[addindex];
array.copy (addroles, 0, theroles, 0, addindex);
roles.provider.adduserstoroles (users, theroles);
}

if (remindex > 0)
{
string [] theroles = new string[remindex];
array.copy (remroles, 0, theroles, 0, remindex);
roles.provider.removeusersfromroles (users, theroles);
}

同一 newmembers.aspx 頁面可以用于編輯用戶，查詢字符串則用于指示當前的模式。在編輯模式中，page_load 將使用用戶信息和當前角色填充界面。同樣，membership 類提供了查找特定用戶記錄和更新已更改用戶記錄的方法。如果我使用純文本密碼，并且在成員身份提供程序配置設置中啟用了密碼檢索，那么以下代碼將更新用戶的密碼更改：

membershipuser user = membership.getuser (email.text);
user.changepassword (user.getpassword (), this.pw.text);

默認情況下，getpassword() 將失敗，因為對所添加的安全性安裝了每個成員身份提供程序的 machine.config 設置。此外，散列密碼是提供程序的默認、也是推薦的方式。因為散列密碼不可檢索，所以您將必須從用戶界面收集用戶的舊密碼，以調用 changepassword() 函數。

但是，這個程序是可擴展的嗎？
至此，我一直側重于如何才能更輕松地實現驗證和基于角色的訪問控制。雖然這些已封裝的功能可以滿足您百分之八十的需求，您還可以非常容易地擴展該模型。

數據庫創建
例如，可以直接通過安全配置向導將數據庫創建過程擴展為支持 sql server 數據庫，或是另一個自定義的 access 數據庫。如果在向導的步驟中選擇創建一個新數據庫，您將看到如下的示例圖：

圖 19：安全向導將在您所選擇的本地或遠程數據庫中創建默認的一組成員身份管理表。

您可以在應用程序的 sql server 數據庫中直接創建成員身份表，而不是使用無法進行任何擴展的 access 數據庫。這是我認為有進步的地方。也許您的祖母無法知道完成該步驟所需的數據庫名稱和憑據，但您的開發小組肯定知道。系統將封裝所創建的表，以匹配成員身份和角色提供程序（這兩者用于實現上述功能）的需要。但如果計劃編譯自己的提供程序，您可以使用其他表設計，并跳過這一步。

身份管理
您可能從我們編寫的、用于構建某些管理功能的代碼中發現，對憑據存儲的訪問由成員身份和角色提供程序進行處理。system.web.security 命名空間現在包括新的 sqlmembershipprovider 和 accessmembershipprovider 組件，以管理各自對默認憑據表的數據訪問需求。默認情況下，machine.config 文件的 <membership> 元素包括兩個提供程序，分別用于 sql server 數據庫和 access 數據庫。<providers> 節可用于添加或刪除提供程序，這允許您在應用程序級別刪除這些默認的提供程序，并配置自己的提供程序。從以下設置中可以看到，有一些與向導創建的表結構直接相關的預定義設置，包括密碼加密設置、密碼重設和檢索設置、密碼問題及答案的要求設置，以及電子郵件字段輸入內容的唯一性設置。其中的每一項都由各自的默認成員身份（或數據庫）提供程序來強制執行，這使您可以使用多種方法使用已封裝的表結構，而不是通過創建自己的表和提供程序。您也可以替代各個提供程序所用的連接字符串。

<membership defaultprovider="aspnetaccessprovider"
userisonlinetimewindow="15" >
<providers>
<add name="aspnetsqlprovider"
type="system.web.security.sqlmembershipprovider,
system.web, version=1.2.3400.0, culture=neutral,
publickeytoken=b03f5f7f11d50a3a"
connectionstringname="localsqlserver"
enablepasswordretrieval="false"
enablepasswordreset="true"
requiresquestionandanswer="false"
applicationname="/"
requiresuniqueemail="false"
passwordformat="hashed"
description="從本地 microsoft sql server 數據庫中
存儲和檢索成員身份數據"
/>

<add name="aspnetaccessprovider"
type="system.web.security.accessmembershipprovider,
system.web, version=1.2.3400.0, culture=neutral,
publickeytoken=b03f5f7f11d50a3a"
connectionstringname="accessfilename"
enablepasswordretrieval="false"
enablepasswordreset="true"
requiresquestionandanswer="false"
applicationname="/"
requiresuniqueemail="false"
passwordformat="hashed"
description="從本地 microsoft access 數據庫中
存儲和檢索成員身份數據"
/>
</providers>
</membership>

實際上，還有另一個成員身份提供程序組件 system.web.security.admembershipprovider。該組件對 active directory 存儲執行上述同樣的活動，但目前這只是內部功能。

<rolemanager> 節中的配置設置可以控制使用何種數據存儲來訪問相關的角色信息。默認情況下有三種配置設置：sqlroleprovider、accessroleprovider 和 windowstokenroleprovider。這些組件用于處理用戶所有的角色管理。同樣，將為 sql server 數據庫和 access 數據庫創建一組默認表，windowstokenroleprovider 調用未托管的代碼來訪問為操作系統憑據存儲而定義的角色。

<rolemanager
enabled="false" cacherolesincookie="true"
cookiename=".aspxroles" cookietimeout="30"
cookiepath="/" cookierequiressl="false"
cookieslidingexpiration="true"
cookieprotection="all"
defaultprovider="aspnetaccessprovider" >
<providers>
<add name="aspnetsqlprovider"
type="system.web.security.sqlroleprovider, system.web,
version=1.2.3400.0, culture=neutral,
publickeytoken=b03f5f7f11d50a3a"
connectionstringname="localsqlserver"
applicationname="/"
description="從本地 microsoft sql server 數據庫中
存儲和檢索角色數據" />

<add name="windowstoken"
type="system.web.security.windowstokenroleprovider,
system.web, version=1.2.3400.0, culture=neutral,
publickeytoken=b03f5f7f11d50a3a"
description="從請求的 windows 已驗證令牌
檢索角色數據" />

<add name="aspnetaccessprovider"
type="system.web.security.accessroleprovider,
system.web, version=1.2.3400.0, culture=neutral,
publickeytoken=b03f5f7f11d50a3a"
connectionstringname="accessfilename"
applicationname="/"
description="從本地 microsoft access 數據庫文件中
存儲和檢索角色數據" />
</providers>
</rolemanager>

雖然此提供程序模型主要旨在簡化 web 應用程序的表單驗證，但也可用于創建并管理用戶和角色的任意驗證方案，還可執行通用活動，如密碼重設、密碼加密和用戶驗證。

小結
asp.net whidbey 中的新組件和體系結構功能令人贊嘆不已。新功能真正讓人欣賞之處在于，您可以輕易地把各種功能組合在一起，構建成一個完整的應用程序，此外，對于需要具有可伸縮性的企業級應用程序，您可以非常容易地擴展這些功能。安全性也有了顯著的加強。使用新模型使我們可以和使用 xml 配置文件開發可憐的“演示代碼”說再見（這些 xml 配置文件保存未加密的憑據，并增加了服務器的文件訪問負載）。當截至日期臨近時，我們經常冒險發行演示代碼。為什么不在第一次就開發出正確的代碼呢？現在唯一欠缺的是心靈感應設備驅動程序，可以將我的想法實時轉換成代碼。

作者簡介
michele leroux bustamante 既是 idesign inc. 和 international .net speakers association (ineta) 的一位成員，也是 microsoft 的地區主管，同時，她還是一位公開發表作品的撰稿人。在 idesign，michele 用自己豐富的背景知識致力于 .net 培訓和高端的企業咨詢。她主要研究 c# 語言、.net framework 體系架構、asp.net 和 web 服務，同時還為技術主管提供指導。可以通過這個地址：[email protected] 與她聯系，或訪問 idesign:.net design and business solutions（英文）以獲得更多信息。此外，也可以訪問 .net dashboard（英文），訂閱她的 .net 電子通訊月刊。

注：轉貼者純粹出于收藏目的轉貼此文，也希望有需要的朋友能夠分享此文

為了表明文章的出處，不得不選擇轉貼，因為收藏不能注明文章的出處

收集最實用的網頁特效代碼！

上一篇：ASP.NET Whidbey中personalization和membership的一些特征

下一篇：ASP.NET的緩存技術