ASP.NET 成员资格提供程序 - 重置密码功能 - 电子邮件确认和密码更改答案

【问题标题】：ASP.NET Membership Provider - Reset Password Features - Email Confirmation and Password ChangeASP.NET 成员资格提供程序 - 重置密码功能 - 电子邮件确认和密码更改
【发布时间】：2011-03-09 03:41:26
【问题描述】：

有没有人有以下功能的解决方案（示例代码）：

创建一个 randomGuid/加密强随机数
发送一个包含随机数到用户的电子邮件地址
确认后，会询问用户修改密码

我的提供者目前是这样参数化的：

enablePasswordRetrieval="false" 
enablePasswordReset="true" 
requiresQuestionAndAnswer="false" 
applicationName="/" 
requiresUniqueEmail="true" 
passwordFormat="Hashed" 
maxInvalidPasswordAttempts="5" 
minRequiredPasswordLength="5" 
minRequiredNonalphanumericCharacters="0" 
passwordAttemptWindow="10" 
passwordStrengthRegularExpression="" 
name="AspNetSqlMembershipProvider"

这种程序的安全问题之前已经讨论过here。

【问题讨论】：

查看 System.Security.Cryptography 中的加密 rng 提供程序以生成随机数并使用简单映射将它们转换为字母数字字符 - 全部小写，跳过字母 i、l 和o 避免混淆（可能还想跳过所有元音以避免讨厌的词）。将电子邮件地址和随机密钥存储在数据库中，并创建捕获新密码等的简单页面，并使用密钥查找用户，然后调用 user.ChangePassword(mu.ResetPassword(), password) 来更改密码。
你可以在4guysfromrolla.com/articles/062508-1.aspx找到好的解决方案

标签： c# asp.net asp.net-membership forgot-password password-recovery

【解决方案1】：

Rui，几个月前我也遇到过类似的情况，之前没有大量接触过会员提供商，我很难让它正确实施，因为我认为你必须实施和使用整个事物原样，或者什么都没有。

我很快发现你只能使用它的一部分，而不是整个对象。例如，在我的应用程序中，我有自己的用户对象以及自己的密码和登录模块，但我需要让表单身份验证正常工作。所以我基本上只是使用 Membership 提供者来做那部分。我没有覆盖任何方法或任何东西，只是将它用于 FormsAuthentication，然后我使用自己的存储库来更改密码、验证用户名密码等。

这是我在 MVC 中的登录代码中的 sn-p。

   var authTicket =  new FormsAuthenticationTicket(1, user.UniqueName, DateTime.UtcNow, DateTime.UtcNow.AddHours(2), rememberMe, cookieValues);
    var encryptedTicket = FormsAuthentication.Encrypt(authTicket);
    var authCookie = new HttpCookie(FormsAuthentication.FormsCookieName, encryptedTicket) { Expires = DateTime.UtcNow.AddDays(14) };

    httpResponseBase.Cookies.Add(authCookie);

这使我能够使用 FormsAuthentication.SignOut();成员资格提供者提供的方法和其他方法。

关于你的问题重新创建一个 randomGuid/Cryptographically strong random number，这是一个你可以使用的好方法，我前一阵子找到了，很抱歉，但不记得在网络上的哪个位置

/// <summary>
/// A simple class which can be used to generate "unguessable" verifier values.
/// </summary>
public class UnguessableGenerator
{
    const string AllowableCharacters = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789/^()";
    const string SimpleAllowableCharacters = "ABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789";

    /// <summary>
    /// Generates an unguessable string sequence of a certain length
    /// </summary>
    /// <param name="length">The length.</param>
    /// <param name="useSimpleCharacterSet">if set to <c>true</c> [use simple character set].</param>
    /// <returns></returns>
    public static string GenerateUnguessable(int length, bool useSimpleCharacterSet = false, string additionalCharacters = "")
    {
        var random = new Random();

        var chars = new char[length];

        var charsToUse = useSimpleCharacterSet ? SimpleAllowableCharacters : AllowableCharacters;
        charsToUse = string.Format("{0}{1}", charsToUse, additionalCharacters);

        var allowableLength = charsToUse.Length;

        for (var i = 0; i < length; i++)
        {
            chars[i] = charsToUse[random.Next(allowableLength)];
        }

        return new string(chars);
    }




    /// <summary>
    /// Generates an ungessable string, defaults the length to what google uses (24 characters)
    /// </summary>
    /// <returns></returns>
    public static string GenerateUnguessable()
    {
        return GenerateUnguessable(24);
    }
}

对于将包含随机数的唯一 URL 发送到用户的电子邮件地址，您需要在用户表或任何表中存储随机 id，然后在用户发送的电子邮件中的精心制作的 url 中使用它可以用来验证。

这将要求您创建一个接受该类型 Url 的 Url，然后您必须从查询字符串中提取您需要的部分并更新您的用户对象。

对于确认后，要求用户更改密码，默认情况下，您的表中有一个位标志，强制用户更改密码，如果您需要强制用户更改密码，这也会派上用场.因此，您的登录代码会查看此位标志是否打开，如果是，它将首先强制更改密码。然后，一旦用户更改了密码，您将关闭此标志。

希望这会有所帮助。

【讨论】：

因代码示例中滥用 Thread.Sleep 而被否决 - 如果您想要真正的随机数据，请使用加密 rng 提供程序。
那里，删除它。一旦你允许竞争条件，你就会意识到没有“真正的”随机数据。
使用 Guid，既然 Guid 保证是唯一的，为什么还要麻烦呢？

【解决方案2】：

至少使用 Guid 类作为 guid。您也许可以自定义结果

var guid = Guid.NewGuid();

..... 发送链接

var msg = new MailMessage();
msg.From = new MailAddress("YOUR_ADDRESS");
msg.To.Add(new MailAddress("CLIENT_ADDRESS"));
msg.Subject = "YOUR SUBJECT";
msg.Body = @" SOME TXT.... http:\\resetPassword.aspx?guid=" + guid;
var smtpClient = new SmtpClient("SMTP_SERVER", 9990);
smtpClient.Send(msg);

.....

你只需要做一个像resetPassword.aspx这样的网页并在页面中处理加载参数“guid”，它应该链接到数据库中的用户

【讨论】：