Question

我使用MVC格式创建网站。现在它所做的只是从SQL服务器管理用户。我现在要做的是让用户登录然后能够管理用户。从登录页面，它应该转到帐户的索引，但我只希望经过身份验证的用户可以查看此页面。如果我：

，它可以正常工作

1）将控制器中的函数设置为[AllowAnonymous]（这不是我想要的）

2）允许Windows身份验证（这不是我想要的，因为一旦部署，它将在网络上）

这实际上归结为如何验证用户身份，然后保持该身份验证。

这是登录页面：

@model myWebsite.Models.LoginModel

@{
    ViewBag.Title = "Login";
    ViewBag.ReturnUrl = "Index";
}

<h2>Login</h2>

@using (Html.BeginForm("Login", "Login", new { ReturnUrl = ViewBag.ReturnUrl }, FormMethod.Post, new { @class = "form-horizontal", role = "form" }))
{
    @Html.AntiForgeryToken()
    <div class="form-horizontal">
        <h4>Login</h4>
        <hr />
        @Html.ValidationSummary(true, "", new { @class = "text-danger"})
        <div class="form-group">
            @Html.LabelFor(Model => Model.UserName, new { @class = "control-label col-md-2"})
            <div class="col-md-10">
                @Html.TextBoxFor(Model => Model.UserName, new { @class = "col-md-2 control-label"})
                @Html.ValidationMessageFor(Model => Model.UserName, "" , new { @class = "text-danger"})
            </div>
        </div>
        <div class="form-group">
            @Html.LabelFor(Model => Model.Password, new { @class = "control-label col-md-2"})
            <div class="col-md-10">
                @Html.TextBoxFor(Model => Model.Password, new { @class = "col-md-2 control-label"})
                @Html.ValidationMessageFor(Model => Model.Password, "" , new { @class = "text-danger"})
            </div>
        </div>
        <div class="form-group">
            <input type="submit" value="Log In" class="btn btn-default" />
        </div>
    </div>
}

这是每个页面的部分内容

@using Microsoft.AspNet.Identity;

@if (Request.IsAuthenticated)
{
    using (Html.BeginForm("LogOff", "Account", FormMethod.Post, new { id = "logoutForm", @class = "navbar-right" }))
    {
        @Html.AntiForgeryToken()
        <ul class="nav navbar-nav navbar-right">
            <li>@Html.ActionLink("Hello "  + User.Identity.GetUserName() + "!", "Index" , "Manage", routeValues: null, htmlAttributes: new { title = "Manage" } )</li>
        </ul>
    }
}
else
{
    <ul class="nav navbar-nav navbar-right">
        <li>@Html.ActionLink("Register", "Create", "Login", routeValues: null, htmlAttributes: new { id = "registerLink" })</li>
        <li>@Html.ActionLink("Log in", "Login", "Login", routeValues: null, htmlAttributes: new { id = "loginLink" })</li>
    </ul>
}

这是控制器

    [AllowAnonymous]
    // GET: Login
    public ActionResult Login()
    {
        return View();
    }


    [AllowAnonymous]
    // GET: Login
    public ActionResult Login()
    {
        return View();
    }

    [HttpPost]
    [AllowAnonymous]
    [ValidateAntiForgeryToken]
    public ActionResult Login(LoginModel model, string retunUrl)
    {

        /* 
        if (!ModelState.IsValid)
        {
            Console.WriteLine("IS NOT VALID");
            return View(model);
        }
       */
        String UserName = model.UserName;
        String Password = model.Password;

        LoginContext LC = new LoginContext();
        LoginModel ValidUser = LC.UserList.Single(Person => Person.UserName == UserName && Person.Password == Password);

        if (ValidUser != null)
        {
            return Redirect("Index");
        }
        return View(model);
    }




    // GET: Login Index of users
    [AllowAnonymous]
    public ActionResult Index()
    {
        return View(db.UserList.ToList());
    }

Answer 1

The Old Way™

如果您只关心用户提供有效凭据的事实，那么最简单的选项可能是FormsAuthentication：

FormsAuthentication.SetAuthCookie(model.UserName, false);

和

FormsAuthentication.SignOut();

这些要求FormsAuthentication模块处于活动状态，因此您可以在web.config中查找这样的行：

<remove name="FormsAuthentication" />

并将其删除，然后添加或更新身份验证部分：

<authentication mode="Forms">
  <forms loginUrl="~/account/login" timeout="2880" defaultUrl="~/" protection="All" />
</authentication>

通过这些设置，ASP.NET知道从FormsAuthentication.SetAuthCookie生成的cookie构建身份和原则。

Right（ish）Way™

话虽如此，FormsAuthentication在这一点上并不是推荐的路径，因为它依赖于System.Web，而且它不是声称感知的事实。

您可以使用确实产生声明感知身份的OWIN来完成最低限度的设置。如果您使用较新的ASP.NET项目模板，那么您应该在App_Start文件夹中有一个Startup.Auth.cs文件，或者您可以添加一个。使用OWIN进行基于cookie的身份验证的最小代码是：

using Microsoft.AspNet.Identity;
using Microsoft.Owin;
using Microsoft.Owin.Security;
using Microsoft.Owin.Security.Cookies;
using Owin;

public partial class Startup
{
    public void ConfigureAuth(IAppBuilder app)
    {
        app.UseCookieAuthentication(new CookieAuthenticationOptions
        {
            LoginPath = new PathString("/account/login"),
            LogoutPath = new PathString("/account/logout"),
            CookieName = ".YOUR_COOKIE_NAME_HERE",
            SlidingExpiration = true, 
            AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
            AuthenticationMode = AuthenticationMode.Active
        });
    }
}

然后，当您对用户进行身份验证时，您会执行以下操作：

var claims = new List<Claim>();
claims.Add(new Claim(ClaimTypes.Name, model.UserName));

var identity = new ClaimsIdentity(claims, DefaultAuthenticationTypes.ApplicationCookie);
HttpContext.Current.Request.GetOwinContext().Authentication.SignIn(identity);

退出：

HttpContext.Current.Request.GetOwinContext().Authentication.SignOut(DefaultAuthenticationTypes.ApplicationCookie);

您还需要在Global.asax文件中设置以下值：

using System.Web.Helpers;
using System.Security.Claims;

public class MvcApplication : System.Web.HttpApplication
{
    protected void Application_Start()
    {
        // ... your other startup/registration code ...

        AntiForgeryConfig.UniqueClaimTypeIdentifier = ClaimTypes.Name;
    }
}

Request.IsAuthenticated只检查当前请求上下文中是否已建立非匿名身份，因此上述任一选项均可用。

除此之外： 您真的不应该以纯文本格式存储密码。创建用户记录时，使用Crypto.HashPassword创建盐渍哈希密码，存储它，然后在检查用户是否输入正确的密码时使用Crypto.VerifyHashedPassword。您可以找到Crypto documentation here。

C＃.NET使用isAuthenticated

1 个答案:

The Old Way™

Right（ish）Way™