詳解ASP.NET身份驗證服務(wù)
身份驗證和授權(quán)
ASP.NET 與 IIS 一起使用以支持身份驗證，并使用基本、簡要和 Windows 身份驗證。ASP.NET 支持 Microsoft Passport 身份驗證服務(wù)，該服務(wù)提供單一登錄服務(wù)和對用戶配置文件服務(wù)的支持。ASP.NET 還為要使用基于窗體的身份驗證的應(yīng)用程序提供可靠的服務(wù)?；诖绑w的身份驗證使用 Cookie 鑒別用戶的身份，并允許應(yīng)用程序執(zhí)行自己的憑據(jù)驗證。
認(rèn)識到 ASP.NET身份驗證服務(wù)取決于 IIS 提供的身份驗證服務(wù)很重要。例如，若要在 IIS 應(yīng)用程序中使用基本身份驗證，必須使用 Internet 服務(wù)管理器工具為應(yīng)用程序配置基本身份驗證的使用。
ASP.NET 提供兩類授權(quán)服務(wù)：
根據(jù) ACL 或資源權(quán)限進(jìn)行檢查，以確定已經(jīng)過驗證的用戶帳戶能否訪問資源。
URL 授權(quán)，它授權(quán) Web 空間各部分的標(biāo)識。
為闡釋差異，請考慮這樣一個方案，在該方案中應(yīng)用程序被配置為允許使用 IUSR_MYMACHINE 帳戶進(jìn)行匿名訪問。在授權(quán)對 ASP.NET 頁（如“/default.aspx”）的請求后，根據(jù) ACL 檢查該文件（例如“c：\inetpub\wwwroot\default.aspx”）以確定 IUSR_MYMACHINE 帳戶是否具有讀取該文件的權(quán)限。如果有，則授權(quán)訪問。文件授權(quán)自動執(zhí)行。
對于 URL 授權(quán)，根據(jù)為 ASP.NET 應(yīng)用程序計算的配置數(shù)據(jù)對匿名用戶進(jìn)行檢查。如果允許訪問請求的 URL，則授權(quán)該請求。在這種情況下，ASP.NET 檢查匿名用戶是否具有對 /Default.aspx 的訪問權(quán)（即檢查根據(jù)的是 URL 本身而不是 URL 最終解析到的文件）。
可能看起來差異很小，但它使應(yīng)用程序能夠使用像基于窗體的身份驗證或護(hù)照身份驗證（在此身份驗證中用戶與計算機(jī)或域帳戶并不對應(yīng)）這樣的身份驗證方案。此外，它還啟用對虛擬資源的授權(quán)，這類資源沒有物理文件作為基礎(chǔ)。例如，應(yīng)用程序可選擇將以 .stk 結(jié)尾的文件的所有請求映射到某一處理程序，該處理程序基于查詢字符串中存在的變量提供常用引號。在這種情況下，不存在執(zhí)行 ACL 檢查所依據(jù)的物理 .stk，因此 URL 授權(quán)用于控制對虛擬資源的訪問。
文件授權(quán)的執(zhí)行依據(jù)的始終是由 IIS 提供的經(jīng)過身份驗證的帳戶。如果允許匿名訪問，則該帳戶是經(jīng)過配置的匿名帳戶。否則，它使用 NT 帳戶。這與 ASP 的工作方式完全相同。
在“資源管理器”屬性頁中使用“安全”選項卡為給定的文件或目錄設(shè)置文件 ACL.URL 授權(quán)被配置為 ASP.NET 框架應(yīng)用程序的一部分，并在授權(quán)用戶和角色中有完整的描述。
若要激活 ASP.NET身份驗證服務(wù)，必須在應(yīng)用程序的配置文件中配置 <authentication> 元素。該元素可具有下表中列出的任何值。
Value 說明
沒有 ASP.NET身份驗證服務(wù)是活動的。注意，IIS 身份驗證服務(wù)仍可以存在。
Windows ASP.NET身份驗證服務(wù)將 WindowsPrincipal （System.Security.Principal.WindowsPrincipal） 附加到當(dāng)前請求以啟用對 NT 用戶或組的授權(quán)。
窗體 ASP.NET身份驗證服務(wù)管理 Cookie 并將未經(jīng)身份驗證的用戶重定向到登錄頁。它通常與 IIS 選項一起使用以允許匿名訪問應(yīng)用程序。
護(hù)照 ASP.NET身份驗證服務(wù)為護(hù)照 SDK（必須安裝在計算機(jī)上）提供的服務(wù)提供了一個方便的包裝。
例如，下列配置文件為應(yīng)用程序啟用基于窗體 （Cookie） 的身份驗證：
- <configuration>
- <system.web>
- <authentication mode="Forms"/>
- </system.web>
- </configuration>
【編輯推薦】
