C#.NET 使用 isAuthenticated

Question

我正在使用 MVC 格式创建网站。现在它所做的只是从 SQL 服务器管理用户。我现在要做的是让用户登录，然后能够管理用户。它应该从登录页面转到帐户索引，但我只希望经过身份验证的用户可以查看此页面。它工作正常，如果我:

1)将 Controller 中的函数设置为[AllowAnonymous](这不是我想要的)

2) 允许 Windows 身份验证(这不是我想要的，因为一旦我部署，它就会在网络上)

它实际上只是归结为我如何对用户进行身份验证，然后让该身份验证持续存在。

这是登录页面:

@model myWebsite.Models.LoginModel

@{
    ViewBag.Title = "Login";
    ViewBag.ReturnUrl = "Index";
}

<h2>Login</h2>

@using (Html.BeginForm("Login", "Login", new { ReturnUrl = ViewBag.ReturnUrl }, FormMethod.Post, new { @class = "form-horizontal", role = "form" }))
{
    @Html.AntiForgeryToken()
    <div class="form-horizontal">
        <h4>Login</h4>
        <hr />
        @Html.ValidationSummary(true, "", new { @class = "text-danger"})
        <div class="form-group">
            @Html.LabelFor(Model => Model.UserName, new { @class = "control-label col-md-2"})
            <div class="col-md-10">
                @Html.TextBoxFor(Model => Model.UserName, new { @class = "col-md-2 control-label"})
                @Html.ValidationMessageFor(Model => Model.UserName, "" , new { @class = "text-danger"})
            </div>
        </div>
        <div class="form-group">
            @Html.LabelFor(Model => Model.Password, new { @class = "control-label col-md-2"})
            <div class="col-md-10">
                @Html.TextBoxFor(Model => Model.Password, new { @class = "col-md-2 control-label"})
                @Html.ValidationMessageFor(Model => Model.Password, "" , new { @class = "text-danger"})
            </div>
        </div>
        <div class="form-group">
            <input type="submit" value="Log In" class="btn btn-default" />
        </div>
    </div>
}

这是每页的部分内容

@using Microsoft.AspNet.Identity;

@if (Request.IsAuthenticated)
{
    using (Html.BeginForm("LogOff", "Account", FormMethod.Post, new { id = "logoutForm", @class = "navbar-right" }))
    {
        @Html.AntiForgeryToken()
        <ul class="nav navbar-nav navbar-right">
            <li>@Html.ActionLink("Hello "  + User.Identity.GetUserName() + "!", "Index" , "Manage", routeValues: null, htmlAttributes: new { title = "Manage" } )</li>
        </ul>
    }
}
else
{
    <ul class="nav navbar-nav navbar-right">
        <li>@Html.ActionLink("Register", "Create", "Login", routeValues: null, htmlAttributes: new { id = "registerLink" })</li>
        <li>@Html.ActionLink("Log in", "Login", "Login", routeValues: null, htmlAttributes: new { id = "loginLink" })</li>
    </ul>
}

这是 Controller

    [AllowAnonymous]
    // GET: Login
    public ActionResult Login()
    {
        return View();
    }


    [AllowAnonymous]
    // GET: Login
    public ActionResult Login()
    {
        return View();
    }

    [HttpPost]
    [AllowAnonymous]
    [ValidateAntiForgeryToken]
    public ActionResult Login(LoginModel model, string retunUrl)
    {

        /* 
        if (!ModelState.IsValid)
        {
            Console.WriteLine("IS NOT VALID");
            return View(model);
        }
       */
        String UserName = model.UserName;
        String Password = model.Password;

        LoginContext LC = new LoginContext();
        LoginModel ValidUser = LC.UserList.Single(Person => Person.UserName == UserName && Person.Password == Password);

        if (ValidUser != null)
        {
            return Redirect("Index");
        }
        return View(model);
    }




    // GET: Login Index of users
    [AllowAnonymous]
    public ActionResult Index()
    {
        return View(db.UserList.ToList());
    }

Answer 1

旧方法™

如果您所关心的只是坚持用户向您提供有效凭据这一事实，您最简单的选择可能是 FormsAuthentication:

FormsAuthentication.SetAuthCookie(model.UserName, false);

和

FormsAuthentication.SignOut();

这些要求 FormsAuthentication 模块处于事件状态，因此您可以在 web.config 中查找如下一行:

<remove name="FormsAuthentication" />

并删除它，然后添加或更新身份验证部分:

<authentication mode="Forms">
  <forms loginUrl="~/account/login" timeout="2880" defaultUrl="~/" protection="All" />
</authentication>

通过这些设置，ASP.NET 知道从 FormsAuthentication.SetAuthCookie 生成的 cookie 中构建身份和原则。

The Right(ish) Way™

话虽这么说，FormsAuthentication 目前不是推荐的路径，因为它依赖于 System.Web，而且它没有声明意识。

您可以使用 OWIN 完成最低限度的设置，该设置确实会产生声明感知身份。如果您从较新的 ASP.NET 项目模板开始，您应该在 App_Start 文件夹中有一个 Startup.Auth.cs 文件，或者您可以添加一个。在 OWIN 中使用基于 cookie 的身份验证的最少代码是:

using Microsoft.AspNet.Identity;
using Microsoft.Owin;
using Microsoft.Owin.Security;
using Microsoft.Owin.Security.Cookies;
using Owin;

public partial class Startup
{
    public void ConfigureAuth(IAppBuilder app)
    {
        app.UseCookieAuthentication(new CookieAuthenticationOptions
        {
            LoginPath = new PathString("/account/login"),
            LogoutPath = new PathString("/account/logout"),
            CookieName = ".YOUR_COOKIE_NAME_HERE",
            SlidingExpiration = true, 
            AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
            AuthenticationMode = AuthenticationMode.Active
        });
    }
}

然后，当您对用户进行身份验证时，您可以执行以下操作:

var claims = new List<Claim>();
claims.Add(new Claim(ClaimTypes.Name, model.UserName));

var identity = new ClaimsIdentity(claims, DefaultAuthenticationTypes.ApplicationCookie);
HttpContext.Current.Request.GetOwinContext().Authentication.SignIn(identity);

并注销:

HttpContext.Current.Request.GetOwinContext().Authentication.SignOut(DefaultAuthenticationTypes.ApplicationCookie);

您还需要在 Global.asax 文件中设置以下值:

using System.Web.Helpers;
using System.Security.Claims;

public class MvcApplication : System.Web.HttpApplication
{
    protected void Application_Start()
    {
        // ... your other startup/registration code ...

        AntiForgeryConfig.UniqueClaimTypeIdentifier = ClaimTypes.Name;
    }
}

Request.IsAuthenticated 只是检查是否已在当前请求上下文中建立非匿名身份，因此上述任一选项都可以使用。

顺便说一句: 您确实不应该以纯文本形式存储密码。创建用户记录时，请使用 Crypto.HashPassword创建密码的加盐哈希，存储它，然后在检查用户是否输入了正确的密码时使用 Crypto.VerifyHashedPassword。您可以找到 Crypto documentation here .