身份验证和授权最佳方式

Question

在asp.net mvc 3和4网站中为中型到大型网站构建身份验证和授权层的最佳做法是让一个govt应用程序，让我们说每天10000次点击。在大多数情况下，首选方法是什么。

1）从头开始构建一个新图层

2）使用会员提供者（可以根据我的要求完全成型吗？）

3）我最近了解了身份和iprinciple接口

或任何其他方法。

修改 的

stackoverflow使用什么方法？

Answer 1

我认为任何实施都没有严格的最佳做法。对于数据保护等，显然有严格的安全策略，因此您选择的任何层都需要遵守此规则。我过去曾使用ASP.Net的会员提供商，它可以扩展以满足我的所有要求，this codeproject article进一步详细说明如何创建自定义成员资格和自定义角色提供程序。

Answer 2

选择身份验证和应用授权时需要考虑许多因素 - 您需要提供更多信息。

身份验证的典型注意事项是：

• 公司AD或LDAP内部网（Windows，Kerberos）上的用户，还是互联网用户（会员等）？
• 您想使用单点登录（例如OAuth等）
• 您想使用基于声明的身份吗？
• 您是否希望用户“自我管理”（例如忘记密码等）或呼叫中心管理（服务台）？

使用授权

• 基于角色的安全性是否“足够好”（IsUserInRole），或者您是否需要权限/操作级别检查（例如AzMan）
• 以后角色是否可能发生变化（例如，用户之间的业务流程/任务分配是否会发生变化）

等