我们有一个在 IIS6 上运行的 ASP.Net Web 应用程序，它管理自己的用户数据库。
网站本身只允许匿名访问，所有身份验证/安全性都使用我们的应用程序本身进行管理。
我们有一个页面，其中包含一个 HTML 数据表，我们将这些数据导入 Excel，然后用于报告目的。该页面目前未实施任何安全措施。
我们需要为此页面增加安全性，这样如果这些电子表格落入坏人之手，那么如果不提供用户名/密码，就无法“刷新”数据。
如果我将此页面设置为不允许匿名用户访问，那么我可以对 Windows 用户使用 Basic/Windows 身份验证来保护此页面的安全。然后当Excel刷新数据时弹出密码对话框。
问题是我需要能够根据我们数据库中的用户来保护此页面，并且他们不会是 Windows 用户。我还需要以允许 Excel 管理排除任何基于表单的身份验证的身份验证的方式来执行此操作。
有人有什么想法吗？是否可以让 IIS 在别处寻找它的基本身份验证？
【问题讨论】：
标签： asp.net iis authentication
好的，所以我找到了两个解决这个问题的方法。感谢 Zhaph - Ben Duguid 的回答，它是一个允许 ASP.Net 完全管理身份验证的 HttpModule。
第二个解决方案，也是我要采用的解决方案，感谢这个问题/答案。
HTTP Authentication (Basic or Digest) in ASP Classic via IIS
我已将其剥离，并有一个似乎运行良好的简单测试工具。在此示例中，它仅检查用户名和密码是否匹配并认为已通过身份验证，而不是数据库调用。
using System;
using System.Text;
namespace AuthenticationTests
{
public partial class _Default : System.Web.UI.Page
{
protected void Page_Load(object sender, EventArgs e)
{
string authorisationHeader = Request.ServerVariables["HTTP_AUTHORIZATION"];
if (authorisationHeader != null && authorisationHeader.StartsWith("Basic ", StringComparison.InvariantCultureIgnoreCase))
{
string authorizationParameters = Encoding.Default.GetString(Convert.FromBase64String(authorisationHeader.Substring("Basic ".Length)));
string userName = authorizationParameters.Split(':')[0];
string password = authorizationParameters.Split(':')[1];
if (userName == password) //Perform your actual "login" check here.
{
//Authorised!
//Page loads as normal.
}
else
{
Unauthorised();
}
}
else
{
Unauthorised();
}
}
private void Unauthorised()
{
Response.AddHeader("WWW-Authenticate", "Basic");
Response.Status = "401 Unauthorized";
Response.End();
}
}
}
【讨论】：
由于您有一个自定义的用户数据库，我建议您快速构建一个与您的数据库架构对话的membership provider。
MSDN 在"How to: Sample Membership Provider" 上有一个很好的例子。
然后，您可以使用 standard access control mechanisms of ASP.NET 锁定页面、要求身份验证等，并使用 Login、LoginStatus 等控件来提供您需要的大部分 UI。
编辑以添加
快速search 发现以下内容，可能有帮助：
Web Service Security - Basic HTTP Authentication without Active Directory
Greg Reinacker 展示了“一个完整的 100% 托管代码示例，演示了 HTTP 基本身份验证的使用，使用单独的凭据存储（在本例中为 XML 文件，尽管这很容易更改为数据库或LDAP 存储）。”
【讨论】：
我不是专家，但我认为 Basic 的意义在于它是 Windows 身份验证。您可以运行一个脚本来将您的数据库用户与您的 Active Directory 同步吗？
如果是企业 AD，您可以考虑为您的应用创建第二个 AD，并同步企业 AD 和数据库中的用户。如果您不需要同步密码（例如，在您的站点中构建 pwd-mgmt 页面），您可以只使用脚本或 C# 或其他东西。如果您想要更复杂的内置密码同步功能，可以查看 ILM 2007（即将成为 FIM 2010）。
【讨论】：
页面是 .html 文件还是 .aspx 文件？ 如果是 .aspx，您应该保持此页面处于匿名访问状态，并在页面逻辑本身中检查身份验证
【讨论】：
我编写了一个名为 FSCAuth 的库，它可能会对此有所帮助。它可以简单地设置为没有 Active Directory 的基本身份验证。相反，它会从数据库/文件/任何地方读取您的用户数据（甚至还有一个仅限内存的 UserStore）
它是 BSD 许可的 at Binpress
【讨论】：