用于自定义身份验证的 HttpModule 如何与 Windows 身份验证交互？答案

【问题标题】：How would an HttpModule for Custom Authentication interact with Windows Authentication?用于自定义身份验证的 HttpModule 如何与 Windows 身份验证交互？
【发布时间】：2011-05-23 00:19:17
【问题描述】：

我正在尝试创建一个自定义 HttpModule 来控制哪些用户可以查看网站。

我正在尝试利用 Windows 身份验证来执行此操作。

在单个页面上，我可能会这样做：

if (HttpContext.Current.User.Identity.Name.Contains("jsmith"))
{
    Response.Write("You do not have the correct permissions to view this site.");
    Response.End();
}

但是因为我想让它在应用程序级别更易于配置，所以我想使用一个 HttpModule。

这是我对代码所做的开始：

using System;
using System.Web;

public class CustomAuthHttpModule : IHttpModule
{
    public void Dispose() { }

    public void Init(HttpApplication context)
    {
        context.BeginRequest += new EventHandler(OnBeginRequest);
        context.EndRequest += new EventHandler(OnEndRequest);
    }

    void OnBeginRequest(object sender, EventArgs e) { }

    void OnEndRequest(object sender, EventArgs e)
    {
        HttpApplication appObject = (HttpApplication)sender;
        HttpContext contextObject = appObject.Context;

        if (contextObject.User.Identity.Name.Contains("jsmith"))
        {
            contextObject.Response.Clear();
            contextObject.Response.End();
        }
    }
}

如果我可以将它放在 OnBeginRequest() 函数中，我会很好地使用我拥有的代码。但是在 OnEndRequest() 运行之前，不会在 HttpContext 对象中创建 User 属性。

提前运行代码会阻止应用程序执行生成此输出的额外工作，因为最终会阻止某些用户访问。

有人可以提出解决方案吗？这是因为我的模块在 Windows Auth 模块之前运行，还是什么原因？

...或者，也许有一种更简单的方法可以使用 IIS 或文件系统权限来做我想做的事情？

【问题讨论】：

您是否有理由不让 IIS 为您执行此操作？或者使用 web.config 中的 <authorization> 功能？
你能解释一下你的意思吗？我会查找功能，看看你在说什么。 IIS 如何“为我做这件事”？
<authorization> ！惊人的。如果它是一个而不是评论，我会将其标记为答案。谢谢！

标签： c# asp.net iis-7 windows-authentication httpmodule

【解决方案1】：

您想要AuthenticateRequest 事件。

AuthenticateRequest event

【讨论】：

【解决方案2】：

您是否尝试过在 global.aspx 中实现该方法？ OnSessionStart? 此外，我会使用 hasRole 或其他一些组属性而不是 contains 和用户名。

【讨论】：

我知道您可以使用 global.asax 文件。也许这是一个更好的解决方案，但我试图了解 HttpModules 是如何工作的。什么时候使用 HttpModule？
我明白你所说的用户名。这是有道理的。
不是为了登录，而是为了访问权限。在这一点上，我理解错了。或用于记录。 HttpModules 更像是过滤器。

【解决方案3】：

为什么要为此编写一个 http 模块。如果这是 asp.net 网络表单，那么为什么不简单地使用内置的东西，比如 LoginView http://msdn.microsoft.com/en-us/library/system.web.ui.webcontrols.loginview.aspx

【讨论】：

我想使用用户的 Windows 身份，而不是让他们显式登录。