c# - 我可以重用内置 IIS 身份验证但提供我自己的凭据检查吗？

Question

我想对非 Windows 帐户使用内置 IIS 身份验证。有 this module that does that for basic authentication ，但它实际上同时进行身份验证和凭据检查。

问题是我还需要支持摘要身份验证，我可以尝试这样做，但这会很麻烦 - 我需要安全地生成挑战(“随机数”)，存储它们并检查重播等.-很多事情我都可以搞砸，让坚定的攻击者高兴。

所以我更愿意重用 IIS 中的摘要身份验证功能，但使用我自己的模块进行凭据验证。我该怎么做？

Answer 1

不幸的是，没有现成的解决方案。要使用 IIS 内置的 Digest 身份验证，您必须选择“Form”，这不是您想要的。

一种可能的解决方案是在 IIS 中使用匿名身份验证，并编写一个 http 模块来处理身份验证和授权。

在 codeproject 上有一些现有代码，您可能想在其中查看。