ASP.NET

Avviare Visual Studio .NET e creare una nuova applicazione Web ASP.NET Visual C# denominata FormsAuthSQL.

Utilizzare Esplora soluzioni per rinominare WebForm1.aspx come Logon.aspx.

Aggiungere a Logon.aspx i controlli elencati nella tabella 1 per creare un semplice modulo di accesso.

Tabella 1: Controlli di Logon.aspx

La pagina Web sarà simile a quella illustrata nella figura 1.

Figura 1
Modulo Web della pagina di accesso

Impostare la proprietà TextMode di txtPassword su Password.

Utilizzare Esplora soluzioni per aprire il file web.config.

Individuare l'elemento <authentication> e modificare l'attributo mode impostandolo su Forms.

Aggiungere l'elemento <forms> che segue come figlio dell'elemento <authentication> e impostare gli attributi loginUrl, name, timeout e path nel modo seguente:

<authentication mode="Forms"> 
  <forms loginUrl="logon.aspx" name="sqlAuthCookie" timeout="60" path="/"> 
  </forms> 
</authentication> 

Aggiungere l'elemento <authorization> riportato di seguito sotto l'elemento <authentication>. In questo modo, l'accesso all'applicazione verrà consentito solo agli utenti autenticati. L'attributo loginUrl dell'elemento <authentication>, definito in precedenza, reindirizzerà le richieste non autenticate alla pagina logon.aspx.

<authorization>  
  <deny users="?" /> 
  <allow users="*" /> 
</authorization> 

Aprire Logon.aspx.cs e aggiungere le istruzioni using riportate di seguito all'inizio del file, sotto le istruzioni using esistenti.

using System.Security.Cryptography; 
using System.Web.Security; 

Aggiungere alla classe WebForm1 il metodo statico riportato di seguito per generare un valore salt casuale e restituirlo come stringa codificata Base 64.

private static string CreateSalt(int size) 
{ 
  // Generate a cryptographic random number using the cryptographic 
  // service provider 
  RNGCryptoServiceProvider rng = new RNGCryptoServiceProvider(); 
  byte[] buff = new byte[size]; 
  rng.GetBytes(buff); 
  // Return a Base64 string representation of the random number 
  return Convert.ToBase64String(buff); 
} 

Aggiungere il metodo statico riportato di seguito per generare un valore hash in base alla password specificata e al valore salt.

private static string CreatePasswordHash(string pwd, string salt) 
{ 
  string saltAndPwd = String.Concat(pwd, salt); 
  string hashedPwd =  
        FormsAuthentication.HashPasswordForStoringInConfigFile( 
                                             saltAndPwd, "SHA1"); 
  return hashedPwd; 
} 

Scegliere Microsoft SQL Server dal menu Programmi, fare clic su Query Analyzer, quindi connettersi al computer SQL Server locale.

Immettere lo script SQL riportato di seguito. Tenere presente che, alla fine dello script, è necessario sostituire "LocalMachine" con il nome del computer in uso.

USE master 
GO 
-- create a database for the security information 
IF EXISTS (SELECT * FROM   master..sysdatabases WHERE   
name = 'UserAccounts') 
  DROP DATABASE UserAccounts 
GO 
CREATE DATABASE UserAccounts 
GO 
USE UserAccounts 
GO 
CREATE TABLE [Users] ( 
  [UserName] [varchar] (255) NOT NULL , 
  [PasswordHash] [varchar] (40) NOT NULL , 
  [salt] [varchar] (10) NOT NULL, 
  CONSTRAINT [PK_Users] PRIMARY KEY  CLUSTERED  
  ( 
    [UserName] 
  )  ON [PRIMARY]  
) ON [PRIMARY] 
GO 
-- create stored procedure to register user details 
CREATE PROCEDURE RegisterUser 
@userName varchar(255), 
@passwordHash varchar(40), 
@salt varchar(10) 
AS 
INSERT INTO Users VALUES(@userName, @passwordHash, @salt) 
GO 
-- create stored procedure to retrieve user details 
CREATE PROCEDURE LookupUser 
@userName varchar(255) 
AS 
SELECT PasswordHash, salt  
FROM Users 
WHERE UserName = @userName 
GO 
-- Add a login for the local ASPNET account 
-- In the following statements, replace LocalMachine with your  
-- local machine name 
exec sp_grantlogin [LocalMachine\ASPNET] 
-- Add a database login for the UserAccounts database for the 
ASPNET account 
exec sp_grantdbaccess [LocalMachine\ASPNET] 
-- Grant execute permissions to the LookupUser and RegisterUser stored 
procs 
grant execute on LookupUser to [LocalMachine\ASPNET] 
grant execute on RegisterUser to [LocalMachine\ASPNET] 

Eseguire la query per creare il database UserAccounts.

Chiudere Query Analyzer.

Tornare a Visual Studio .NET e fare doppio clic sul pulsante Registrati nel modulo Web per creare un gestore eventi ButtonClick.

Aggiungere al metodo il seguente codice:

string salt = CreateSalt(5); 
string passwordHash = CreatePasswordHash(txtPassword.Text,salt); 
try 
{ 
  StoreAccountDetails( txtUserName.Text, passwordHash, salt); 
} 
catch(Exception ex) 
{ 
  lblMessage.Text = ex.Message; 
} 

Aggiungere l'istruzione using riportata di seguito all'inizio del file, sotto le istruzioni using esistenti.

using System.Data.SqlClient; 

Aggiungere il metodo StoreAccountDetails mediante il codice riportato di seguito, che utilizza ADO .NET per eseguire la connessione al database UserAccounts e consente di archiviare il nome utente, l'hash di password e il valore salt nella tabella Users.

private void StoreAccountDetails( string userName,  
                                  string passwordHash,  
                                  string salt ) 
{ 
  // See "How To Use DPAPI (Machine Store) from ASP.NET" for information  
  // about securely storing connection strings. 
  SqlConnection conn = new SqlConnection( "Server=(local);" + 
                                          "Integrated Security=SSPI;" + 
                                          "database=UserAccounts"); 
  SqlCommand cmd = new SqlCommand("RegisterUser", conn ); 
  cmd.CommandType = CommandType.StoredProcedure; 
  SqlParameter sqlParam = null; 
  sqlParam = cmd.Parameters.Add("@userName", SqlDbType.VarChar, 255); 
  sqlParam.Value = userName; 
  sqlParam = cmd.Parameters.Add("@passwordHash ", SqlDbType.VarChar, 40); 
  sqlParam.Value = passwordHash; 
  sqlParam = cmd.Parameters.Add("@salt", SqlDbType.VarChar, 10); 
  sqlParam.Value = salt; 
  try 
  { 
    conn.Open(); 
    cmd.ExecuteNonQuery(); 
  } 
  catch( Exception ex ) 
  { 
    // Code to check for primary key violation (duplicate account name) 
    // or other database errors omitted for clarity 
    throw new Exception("Exception adding account. " + ex.Message); 
  } 
  finally 
  { 
    conn.Close(); 
  }  
}

Tornare a Logon.aspx.cs e aggiungere il metodo dell'helper privato VerifyPassword come indicato nel seguente codice:

private bool VerifyPassword(string suppliedUserName,  
                            string suppliedPassword ) 
{  
  bool passwordMatch = false; 
  // Get the salt and pwd from the database based on the user name. 
  // See "How To: Use DPAPI (Machine Store) from ASP.NET," "How To: Use 
  DPAPI  
  // (User Store) from Enterprise Services," and "How To: Create a DPAPI  
  // Library" for more information about how to use DPAPI to securely 
  store  
  // connection strings. 
  SqlConnection conn = new SqlConnection( "Server=(local);" +  
                                          "Integrated Security=SSPI;" + 
                                          "database=UserAccounts"); 
  SqlCommand cmd = new SqlCommand( "LookupUser", conn ); 
  cmd.CommandType = CommandType.StoredProcedure; 
  SqlParameter sqlParam = cmd.Parameters.Add("@userName",  
                                             SqlDbType.VarChar, 255); 
  sqlParam.Value = suppliedUserName; 
  try 
  { 
    conn.Open(); 
    SqlDataReader reader = cmd.ExecuteReader(); 
    reader.Read(); // Advance to the one and only row 
    // Return output parameters from returned data stream 
    string dbPasswordHash = reader.GetString(0); 
    string salt = reader.GetString(1); 
    reader.Close(); 
    // Now take the salt and the password entered by the user 
    // and concatenate them together. 
    string passwordAndSalt = String.Concat(suppliedPassword, salt); 
    // Now hash them 
    string hashedPasswordAndSalt =        
               FormsAuthentication.HashPasswordForStoringInConfigFile( 
                                               passwordAndSalt, "SHA1"); 
    // Now verify them. 
    passwordMatch = hashedPasswordAndSalt.Equals(dbPasswordHash); 
  } 
  catch (Exception ex) 
  { 
    throw new Exception("Execption verifying password. " + ex.Message); 
  } 
  finally 
  { 
    conn.Close(); 
  } 
  return passwordMatch; 
} 

Tornare al modulo di accesso e fare doppio clic sul pulsante Accedi per creare un gestore dell’evento ButtonClick.

Aggiungere il codice riportato di seguito al gestore evento ButtonClick Accedi per chiamare il metodo VerifyPassword e visualizzare un messaggio in cui viene indicato se il nome utente e la password specificati sono validi o meno.

bool passwordVerified = false; 
try 
{ 
   passwordVerified = VerifyPassword(txtUserName.Text,txtPassword.Text); 
} 
catch(Exception ex) 
{ 
  lblMessage.Text = ex.Message; 
  return; 
} 
if (passwordVerified == true ) 
{ 
  // The user is authenticated 
  // At this point, an authentication ticket is normally created 
  // This can subsequently be used to generate a GenericPrincipal 
  // object for .NET authorization purposes 
  // For details, see "How To: Use Forms authentication with  
  GenericPrincipal  
  // objects 
  lblMessage.Text = "Logon successful: User is authenticated"; 
} 
else 
{ 
  lblMessage.Text = "Invalid username or password"; 
} 

Scegliere Genera soluzione dal menu Genera.

In Esplora soluzioni fare clic con il pulsante destro del mouse su logon.aspx, quindi scegliere Visualizza nel browser.

Immettere un nome utente e una password, quindi fare clic su Registrati.

Utilizzare SQL Server Enterprise Manager per visualizzare il contenuto della tabella Users. Verrà visualizzata una nuova riga per il nuovo nome utente insieme all'hash di password generato.

Tornare alla pagina Web di accesso, immettere nuovamente la password, quindi fare clic su Accedi. Verrà visualizzato il messaggio "Logon successful: User is authenticated".

A questo punto immettere una password non valida, lasciando invariato il nome utente. Verrà visualizzato il messaggio "Invalid username or password".

Chiudere Internet Explorer.