打印本文 打印本文 关闭窗口 关闭窗口
使用更精简的代码保证 ASP.NET 应用程序的安全
作者：武汉SEO闵涛  文章来源：敏韬网  点击数2030  更新时间：2009/4/23 10:49:38  文章录入：mintao  责任编辑：mintao
理各自对默认凭据表的数据访问需求。默认情况下，machine.config 文件的 <membership> 元素包括两个提供程序，分别用于 SQL Server 数据库和 Access 数据库。<providers> 节可用于添加或删除提供程序，这允许您在应用程序级别删除这些默认的提供程序，并配置自己的提供程序。从以下设置中可以看到，有一些与向导创建的表结构直接相关的预定义设置，包括密码加密设置、密码重设和检索设置、密码问题及答案的要求设置，以及电子邮件字段输入内容的唯一性设置。其中的每一项都由各自的默认成员身份（或数据库）提供程序来强制执行，这使您可以使用多种方法使用已封装的表结构，而不是通过创建自己的表和提供程序。您也可以替代各个提供程序所用的连接字符串。

<membership defaultProvider="AspNetAccessProvider" 
  userIsOnlineTimeWindow="15" >
            <providers>
                <add name="AspNetSqlProvider"
                    type="System.Web.Security.SqlMembershipProvider, 
                      System.Web, Version=1.2.3400.0, Culture=neutral, 
                        PublicKeyToken=b03f5f7f11d50a3a"
                    connectionStringName="LocalSqlServer"
                    enablePasswordRetrieval="false"
                    enablePasswordReset="true"
                    requiresQuestionAndAnswer="false"
                    applicationName="/"
                    requiresUniqueEmail="false"
                    passwordFormat="Hashed"
                    description="从本地 Microsoft SQL Server 数据库中
存储和检索成员身份数据"
                />

                <add name="AspNetAccessProvider"
                    type="System.Web.Security.AccessMembershipProvider, 
                      System.Web, Version=1.2.3400.0, Culture=neutral, 
                        PublicKeyToken=b03f5f7f11d50a3a"
                    connectionStringName="AccessFileName"
                    enablePasswordRetrieval="false"
                    enablePasswordReset="true"
                    requiresQuestionAndAnswer="false"
                    applicationName="/"
                    requiresUniqueEmail="false"
                    passwordFormat="Hashed"
                    description="从本地 Microsoft Access 数据库中
存储和检索成员身份数据"
                />
            </providers>
        </membership>

实际上，还有另一个成员身份提供程序组件 System.Web.Security.ADMembershipProvider。该组件对 Active Directory 存储执行上述同样的活动，但目前这只是内部功能。

<roleManager> 节中的配置设置可以控制使用何种数据存储来访问相关的角色信息。默认情况下有三种配置设置：SqlRoleProvider、AccessRoleProvider 和 WindowsTokenRoleProvider。这些组件用于处理用户所有的角色管理。同样，将为 SQL Server 数据库和 Access 数据库创建一组默认表，WindowsTokenRoleProvider 调用未托管的代码来访问为操作系统凭据存储而定义的角色。

        <roleManager
                enabled="false" cacheRolesInCookie="true" 
                  cookieName=".ASPXROLES" cookieTimeout="30"
                cookiePath="/" cookieRequireSSL="false" 
                  cookieSlidingExpiration="true"
                cookieProtection="All" 
                  defaultProvider="AspNetAccessProvider" >
           <providers>
               <add  name="AspNetSqlProvider" 
                 type="System.Web.Security.SqlRoleProvider, System.Web, 
                   Version=1.2.3400.0, Culture=neutral, 
                     PublicKeyToken=b03f5f7f11d50a3a"
                     connectionStringName="LocalSqlServer"
                     applicationName="/"
                     description="从本地 Microsoft SQL Server 数据库中
存储和检索角色数据" />

               <add name="WindowsToken"
                    type="System.Web.Security.WindowsTokenRoleProvider, 
                      System.Web, Version=1.2.3400.0, Culture=neutral, 
                        PublicKeyToken=b03f5f7f11d50a3a"
                    description="从请求的 Windows 已验证令牌
检索角色数据" />


                <add name="AspNetAccessProvider"
                    type="System.Web.Security.AccessRoleProvider, 
                      System.Web, Version=1.2.3400.0, Culture=neutral, 
                        PublicKeyToken=b03f5f7f11d50a3a"
                    connectionStringName="AccessFileName"
                    applicationName="/"
                    description="从本地 Microsoft Access 数据库文件中
存储和检索角色数据" />
           </providers>
        </roleManager>

虽然此提供程序模型主要旨在简化 Web 应用程序的表单验证，但也可用于创建并管理用户和角色的任意验证方案，还可执行通用活动，如密码重设、密码加密和用户验证。

小结

ASP.NET Whidbey 中的新组件和体系结构功能令人赞叹不已。新功能真正让人欣赏之处在于，您可以轻易地把各种功能组合在一起，构建成一个完整的应用程序，此外，对于需要具有可伸缩性的企业级应用程序，您可以非常容易地扩展这些功能。安全性也有了显著的加强。使用新模型使我们可以和使用 XML 配置文件开发可怜的“演示代码”说再见（这些 XML 配置文件保存未加密的凭据，并增加了服务器的文件访问负载）。当截至日期临近时，我们经常冒险发行演示代码。为什么不在第一次就开发出正确的代码呢？现在唯一欠缺的是心灵感应设备驱动程序，可以将我的想法实时转换成代码。

作者简介

Michele Leroux Bustamante 既是 IDesign Inc. 和 International .NET Speakers Association (INETA) 的一位成员，也是 Microsoft 的地区主管，同时，她还是一位公开发表作品的撰稿人。在 IDesign，Michele 用自己丰富的背景知识致力于 .NET 培训和高端的企业咨询。她主要研究 C# 语言、.NET Framework 体系架构、ASP.NET 和 Web 服务，同时还为技术主管提供指导。可以通过这个地址：mlb@idesign.net 与她联系，或访问 IDesign:.NET Design and Business Solutions（英文）以获得更多信息。此外，也可以访问 .NET Dashboard（英文），订阅她的 .NET 电子通讯月刊。



回到顶部

 

注：转贴者纯粹出于收藏目的转贴此文，也希望有需要的朋友能够分享此文

为了表明文章的出处，不得不选择转贴，因为收藏不能注明文章的出处

上一页  [1] [2] [3] 

打印本文 打印本文 关闭窗口 关闭窗口