Asp.net MVC默认登录类是否足够？

Question

它们在公共站点的安全性方面是否足够？或者我需要进行修改？

Answer 1

这实际上取决于您正在制作的网站类型，但我可能不会按原样部署AccountController。它的示例代码演示了使用MembershipProvider的机制。

例如，有些事情需要考虑：

1. 您可以加入带注册的CAPTCHA
2. 默认模板实际上并未使用[Authorize]属性保护任何内容。如果您需要登录，您可能希望拥有需要授权的控制器和操作。

等...

始终对您自己网站的安全性负责。我会做一个威胁模型，并弄清楚你的网站需要多么安全。例如，某些站点需要使用RSA密钥卡等双因素身份验证。这不包含在默认模板中。我认为大多数网站都不需要那个级别。 ;）点，这取决于您的具体需求。希望有所帮助！

Answer 2

您是在询问成员资格和角色提供程序还是框架控制器操作和视图？成员资格和角色提供者当然支持密码的安全存储，并允许您充分保护您的应用程序。我发现它们对我所做的事情有点过分，所以我选择实现自己的。就控制器操作而言，它们只是骷髅，您应该期望修改它们以适合您的身份验证方案。首先，您可能希望在传输密码时将其设置为需要安全连接。如果您选择之后重定向到非安全连接，则需要手动操作重定向URL，因为默认路由不支持（或至少不在MVC Beta中）从安全更改为非安全协议

最重要的是，无论您使用的是MVC还是WebForms，您仍需要确保安全地处理数据。控制器的布局和基本设置是一个良好的开端，但您需要确保它符合您的安全要求。