在AspNet MVC环境中开发期间禁用安全性

Question

我正在寻找开发过程中Web应用程序中安全配置管理的最佳实践。我有两种情况。

1. 我有一堆函数（比如REST API）从数据库中返回一些数据。在生产中，主叫客户端必须对AspNetMembership提供商进行身份验证。
2. 还有另一组函数，其中需要经过身份验证的主体信息才能获取数据。

在开发期间，开发人员需要在IIS中设置安全性和https才能实现这一点。是否存在Asp.Net或其他编程语言中的最佳实践，以便在开发期间禁用安全性，以便开发人员不必在托管应用程序的本地IIS服务器（而不是Cassini）中设置安全性，也不必在标头中提供凭据。调试。

Answer 1

最佳做法是不允许禁用安全性。如果您正在使用表单身份验证，则不需要在IIS中设置安全性，只需在应用程序中设置，并且Visual Studio可以轻松地添加开发证书以启用HTTPS。

最后一个最佳做法：使用ASP.NET身份，而不是AspNetMembership用于您的身份提供者。 AspNetMembership在这一点上是遗留的，并不遵循现代安全最佳实践。