使用 ASP.NET 和 IIS 來建立和部署更安全的網站 -- 第二部分

1. 將 PublicPage.aspx、LoginPage.aspx 和 Web.config (應用程式根目錄) 複製到 wwwroot 或是一個虛擬目錄。
   
2. 在這個虛擬的根目錄中建立一個叫做 Secret 子目錄，然後複製 ProtectedPage.aspx 和 Web.config (Secret 子目錄) 到該子目錄。
   
3. 在瀏覽器中呼叫 PublicPage.aspx。如果你是將它複製到 wwwroot，這個 URL 應該是 http://localhost/publicpage.aspx。
   
4. 按一下 [View Secret Message] 按鈕。
   
5. 「View Secret Message」使用 Response.Redirect 導向到 Secret/ProtectedPage.aspx。但是因為 ProtectedPage.aspx 只能被已驗證使用者來檢視，ASP.NET 會在 LoginPage.aspx 顯示登入表單 (請參閱 [圖 2])。
   
   
   [圖 2] 登入表單
   
   
6. 在使用者名稱欄位中輸入「Jeff」，並在密碼欄位中輸入「imbatman」。
   
7. 出現 ProtectedPage.aspx。因為你現在是一個已驗證的使用者，而且伴隨後續要求所發出的驗證票證，都會儲存在 cookie 裡。
   
8. 回到 PublicPage.aspx。
   
9. 再次按下 [View Secret Message] 按鈕。
   
10. ProtectedPage.aspx 再次出現。但是這一次並不會要求你輸入使用者名稱和密碼。為什麼？因為與這項要求一起傳送的驗證 cookie 使得 ASP.NET 表單驗證模組 (在每項要求中接聽) 可以識別出你是一個已驗證的使用者，並且識別出你是 Jeff，注意這個個人化歡迎網頁 (請參閱 [圖 3])。
    
    
    [圖 3] 歡迎 Jeff 的網頁
    
    
11. 關閉瀏覽器，然後再重新啟動瀏覽器並呼叫 PublicPage.aspx。
    
12. 再一次按下 [View Secret Message] 按鈕，你會再次被要求登入，因為這個包含你的驗證票證的 cookie 是一個工作階段 cookie，這表示當你關閉瀏覽器時，這個 cookie 會消失。
    

<authentication mode="Forms">
  <forms loginUrl="LoginPage.aspx">
    ...
  </forms>
</authentication>

<credentials passwordFormat="Clear">
  <user name="Jeff" password="imbatman" />
  <user name="John" password="redrover" />
  <user name="Bob" password="mxyzptlk" />
  <user name="Alice" password="nomalice" />
  <user name="Mary" password="contrary" />
</credentials>

  <authorization>
  <deny users="?" />
  </authorization>

if(FormsAuthentication.Authenticate(UserName.Text,Password.Text))

FormsAuthentication.RedirectFromLoginPage(UserName.Text,false);

select count (*) from users where username = 'Jeff' and
cast(rtrim(password) as varbinary)=cast('imbatman' as varbinary)

FormsAuthentication.RedirectFromLoginPage (UserName.Text,
    Persistent.Checked);

osql -U sa -P -i weblogin.sql

FILENAME = 'C:\program files\...\weblogin.mdf',

<forms ... timeout="30">

<configuration>
  <system.web>
    <authentication mode="Forms">
      <forms loginUrl="/LoginPage.aspx" timeout="10080" />
    </authentication>
  </system.web>
</configuration>

FormsAuthentication.RedirectFromLoginPage (UserName.Text,
    Persistent.Checked);

<deny users="?" />

<configuration>
  <system.web>
    <authorization>
      <allow users="John, Alice" />
      <deny users="*" />
    </authorization>
  </system.web>
</configuration>

<configuration>
  <system.web>
    <authorization>
      <deny users="Jeff, Bob, Mary" />
      <allow users="*" />
    </authorization>
  </system.web>
</configuration>

<deny users="*" />
<allow users="John, Alice" />

<allow users="John, Alice" />
<deny users="*" />

<configuration>
  <system.web>
    <authorization>
      <allow roles="Manager" />
      <deny users="*" />
    </authorization>
  </system.web>
</configuration>

app.Context.User = new GenericPrincipal (identity,
    new string[] { "Developer" });

app.Context.User = new GenericPrincipal (identity,
    new string[] { "Manager" });

• 它從 WebLogin 資料庫擷取角色，然後指派它們給後續傳入的要求 (假設這些要求是使用表單驗證來驗證)。
  
• 它的 Web.config 檔案 (在 Secrets 目錄的那一個) 允許管理人員成員來存取，但對他人則否。
  
• 如果選取登入網頁的 [保留我的登入狀態] 方塊，它將傳回一個存留期間為 7 天而不是 50 年的驗證 cookie。
  

app.Context.User = new GenericPrincipal (identity,
    new string[] { "Developer", "Manager" });

<allow roles="Manager, Developer" />
<deny users="*" />

<asp:Button Text="Log Out" OnClick="OnLogOut" RunAt="server" />
    •••
<script language="C#" runat="server">
  void OnLogOut (Object sender, EventArgs e)
  {
      FormsAuthentication.SignOut ();
  }
</script>

<forms ... protection="Validation" />

<forms ... protection="Encryption" />

<forms ... protection="None" />

<forms ...
 loginUrl="https://www.wintellect.com/secure/login.aspx" />

<forms path="/Secret" />