带有母版页的 asp.net 自定义用户身份验证

Question

我正在开发一个小型库存管理系统。我几乎已经在我的本地机器上创建了它。它按设计工作。我刚刚将其移至我的主机帐户，现在我遇到了一些问题。

1，登录后，当用户进入不同的页面时，打开和关闭表单，一段时间后它会重定向到登录页面。我不知道为什么。似乎发生了某种异常或会话变空了。这种情况如何处理？

2，这是使用母版页的 Page_Load 事件检查用户登录的正确方法吗？

我的网站使用一个母版页，该母版页对顶部导航菜单和底部正文区域具有单独的布局。当用户第一次登陆该站点时，它会登录系统并在成功登录后将他的信息存储在会话中。我在所有页面中大量使用 Session 来添加、删除、更新目的。执行添加记录时，我会在会话中传递成功失败消息以在回发后显示。登录页面后面的代码如下：

    protected void loginForm_OnAuthenticate(object sender, AuthenticateEventArgs e)
    {
        string error = "";
        sMethodName = "loginForm_OnAuthenticate";

        _objLoginBLL = new LoginBLL();

        int iRetVal = _objLoginBLL.ValidateUser(loginForm.UserName, loginForm.Password, ref error);

        if (iRetVal >= 0)
        {
            Session.Clear();        //Remove all stored Session variables.

            Session[Constant.Session.LOGGED_IN_DATETIME] = DateTime.Now.ToString("yyyyMMddHHmmssfff");
            Session[Constant.Session.LOGIN_USERNAME] = loginForm.UserName;
            Session[Constant.Session.LOGIN_USER_ID] = iRetVal;
            Session[Constant.Session.LOGIN_COMPANY] = ddlCompanies.SelectedValue;
            Session[Constant.Session.LOGIN_FISCAL_YEAR] = ddlFiscalYear.SelectedValue;
            Session[Constant.Session.IS_DIRECT_ACCESS] = "NO";
            FormsAuthentication.RedirectFromLoginPage(loginForm.UserName, loginForm.RememberMeSet);
        }
        else
        {
            Logger.Log("User validation failed.", sClassName, sMethodName, DEBUG);

            switch (iRetVal)
            {
                case -1:
                    loginForm.FailureText = Constant.Messages.INCORRECT_USER_OR_PASSWORD;
                    loginForm.Focus();
                    break;

                case -2:
                    loginForm.FailureText = Constant.Messages.ACCOUNT_LOCKED;
                    loginForm.Focus();
                    break;

                //case -3: 
                    //TODO: Account doesn't exists

                default:
                    var randToken = new Random().Next(1000);
                    Session[Constant.Session.TOKEN] = randToken;
                    var myHashtable = new Hashtable
                    {
                        {Constant.Session.TOKEN, randToken},
                        {Constant.Fields.ERROR_KEY, iRetVal}
                    };

                    Response.Redirect(WebFunctions.CreateQueryString(Constant.Urls.Error, myHashtable));
                    break;
            }
        }
    }

我不断检查会话是否不包含任何用户 ID，然后将其重定向到登录页面。我的母版页后面的代码如下：

    protected void Page_Load(object sender, EventArgs e)
    {
        if (Session[Constant.Session.LOGIN_USER_ID] == null)
        {
            FormsAuthentication.RedirectToLoginPage();
            return;
        }

        CheckDBConnection();
        Initialize();
    }

任何帮助或提示将不胜感激。

您可以在此处查看该网站：www.paracha.net（如果有人感兴趣，我可以在私信中分享访客帐户凭据）

Answer 1

首先，请记住会话 cookie 未加密，因此您不应使用会话存储任何机密信息。

其次，您不应该检查每个Page_Load 的身份验证。相反，您应该在 web.config 中配置页面访问权限：

<configuration>
   <system.web>
      <authorization>
         <deny users="?"/>
      </authorization>
   </system.web>
</configuration>

这将保护您的所有页面，因此只有经过身份验证（即登录）的用户才能看到该页面，而所有其他用户将被重定向到登录页面。

如果您希望所有用户都可以访问某些页面（例如启动页面）或文件夹（例如图像文件夹），则为每个页面或文件夹添加一个部分：

<configuration>
  <location path="splash.aspx">
    <system.web>
      <authorization>
        <allow users="*"/>
      </authorization>
    </system.web>
  </location>
  <location path="images">
    <system.web>
      <authorization>
        <allow users="*"/>
      </authorization>
    </system.web>
  </location>
</configuration>

为了使其正常工作，您应该使用表单身份验证。以下是 web.config 中的设置：

<configuration>
  <system.web>
    <authentication mode="Forms">
      <forms
         name=".YOURNAME_AUTH"
         loginUrl="login"
         defaultUrl="/"
         protection="All"
         timeout="30"
         path="/"
         requireSSL="true"
         slidingExpiration="true"
         cookieless="UseCookies"
         domain=""
         enableCrossAppRedirects="false">
      </forms>
    </authentication>
   </system.web>
</configuration>

显然，您将需要一个 login.aspx 页面，并且当您单击 Log in 按钮时，您需要像这样对用户进行身份验证：

protected void btnLogIn_Click(object sender, EventArgs e) {
  string Username = txtUsername.Text;
  string Password = txtPassword.Text;
  try {
    if (ValidateUser(Username, Password)) {
        FormsAuthentication.RedirectFromLoginPage(Username, false);
    }
    else {
        lblMessage.Text = "Incorrect Credentials.";
        lblMessage.ForeColor = Color.Red;
    }
  }
  catch {
    lblMessage.Text = "Login Failed.";
    lblMessage.ForeColor = Color.Red;
  }
}

函数ValidateUser() 可以做任何你想做的认证。如果您愿意，可以根据您的数据库验证凭据。

Answer 2

如果您使用FormsAuthentication，则无需手动检查Session[Constant.Session.LOGIN_USER_ID]。它将自动重定向到登录页面，您可以在 web.config 中对其进行配置。

另一个想法

这与您的问题没有直接关系。这只是一种替代方法。

您可以创建自定义上下文来跟踪当前登录用户的信息，而不是创建多个会话状态

例如您可以在 MyUser 类中存储 Company 和 Fiscal Year 属性。

void Application_AuthenticateRequest(object sender, EventArgs e)
{
    if (HttpContext.Current.User != null && 
        HttpContext.Current.User.Identity.IsAuthenticated)
    {
        MyContext.Current.MyUser = 
         YOUR_BLL.GetUserByUsername(HttpContext.Current.User.Identity.Name);
    }
}

public class MyContext
{
    private MyUser _myUser;

    public static MyContext Current
    {
        get
        {
            if (HttpContext.Current.Items["MyContext"] == null)
            {
                MyContext context = new MyContext();
                HttpContext.Current.Items.Add("MyContext", context);
                return context;
            }
            return (MyContext) HttpContext.Current.Items["MyContext"];
        }
        }

        public MyUser MyUser
        {

            get { return _myUser; }
            set { _myUser = value; }
        }
    }
}

加法

C# 是强类型语言，因此不应使用变量类型对变量名称进行编码。例如。 objLoginBLL 和 iRetVal。请阅读 C# 设计指南或Essential C# 6.0 (Page 7).