我正在使用 MVC 格式创建网站。现在它所做的只是从 SQL 服务器管理用户。我现在要做的是让用户登录,然后能够管理用户。它应该从登录页面转到帐户索引,但我只希望经过身份验证的用户可以查看此页面。它工作正常,如果我:
1)将 Controller 中的函数设置为[AllowAnonymous](这不是我想要的)
2) 允许 Windows 身份验证(这不是我想要的,因为一旦我部署,它就会在网络上)
它实际上只是归结为我如何对用户进行身份验证,然后让该身份验证持续存在。
这是登录页面:
@model myWebsite.Models.LoginModel
@{
ViewBag.Title = "Login";
ViewBag.ReturnUrl = "Index";
}
<h2>Login</h2>
@using (Html.BeginForm("Login", "Login", new { ReturnUrl = ViewBag.ReturnUrl }, FormMethod.Post, new { @class = "form-horizontal", role = "form" }))
{
@Html.AntiForgeryToken()
<div class="form-horizontal">
<h4>Login</h4>
<hr />
@Html.ValidationSummary(true, "", new { @class = "text-danger"})
<div class="form-group">
@Html.LabelFor(Model => Model.UserName, new { @class = "control-label col-md-2"})
<div class="col-md-10">
@Html.TextBoxFor(Model => Model.UserName, new { @class = "col-md-2 control-label"})
@Html.ValidationMessageFor(Model => Model.UserName, "" , new { @class = "text-danger"})
</div>
</div>
<div class="form-group">
@Html.LabelFor(Model => Model.Password, new { @class = "control-label col-md-2"})
<div class="col-md-10">
@Html.TextBoxFor(Model => Model.Password, new { @class = "col-md-2 control-label"})
@Html.ValidationMessageFor(Model => Model.Password, "" , new { @class = "text-danger"})
</div>
</div>
<div class="form-group">
<input type="submit" value="Log In" class="btn btn-default" />
</div>
</div>
}
这是每页的部分内容
@using Microsoft.AspNet.Identity;
@if (Request.IsAuthenticated)
{
using (Html.BeginForm("LogOff", "Account", FormMethod.Post, new { id = "logoutForm", @class = "navbar-right" }))
{
@Html.AntiForgeryToken()
<ul class="nav navbar-nav navbar-right">
<li>@Html.ActionLink("Hello " + User.Identity.GetUserName() + "!", "Index" , "Manage", routeValues: null, htmlAttributes: new { title = "Manage" } )</li>
</ul>
}
}
else
{
<ul class="nav navbar-nav navbar-right">
<li>@Html.ActionLink("Register", "Create", "Login", routeValues: null, htmlAttributes: new { id = "registerLink" })</li>
<li>@Html.ActionLink("Log in", "Login", "Login", routeValues: null, htmlAttributes: new { id = "loginLink" })</li>
</ul>
}
这是 Controller
[AllowAnonymous]
// GET: Login
public ActionResult Login()
{
return View();
}
[AllowAnonymous]
// GET: Login
public ActionResult Login()
{
return View();
}
[HttpPost]
[AllowAnonymous]
[ValidateAntiForgeryToken]
public ActionResult Login(LoginModel model, string retunUrl)
{
/*
if (!ModelState.IsValid)
{
Console.WriteLine("IS NOT VALID");
return View(model);
}
*/
String UserName = model.UserName;
String Password = model.Password;
LoginContext LC = new LoginContext();
LoginModel ValidUser = LC.UserList.Single(Person => Person.UserName == UserName && Person.Password == Password);
if (ValidUser != null)
{
return Redirect("Index");
}
return View(model);
}
// GET: Login Index of users
[AllowAnonymous]
public ActionResult Index()
{
return View(db.UserList.ToList());
}
最佳答案
旧方法™
如果您所关心的只是坚持用户向您提供有效凭据这一事实,您最简单的选择可能是 FormsAuthentication:
FormsAuthentication.SetAuthCookie(model.UserName, false);
和
FormsAuthentication.SignOut();
这些要求 FormsAuthentication 模块处于事件状态,因此您可以在 web.config 中查找如下一行:
<remove name="FormsAuthentication" />
并删除它,然后添加或更新身份验证部分:
<authentication mode="Forms">
<forms loginUrl="~/account/login" timeout="2880" defaultUrl="~/" protection="All" />
</authentication>
通过这些设置,ASP.NET 知道从 FormsAuthentication.SetAuthCookie
生成的 cookie 中构建身份和原则。
The Right(ish) Way™
话虽这么说,FormsAuthentication 目前不是推荐的路径,因为它依赖于 System.Web,而且它没有声明意识。
您可以使用 OWIN 完成最低限度的设置,该设置确实会产生声明感知身份。如果您从较新的 ASP.NET 项目模板开始,您应该在 App_Start 文件夹中有一个 Startup.Auth.cs 文件,或者您可以添加一个。在 OWIN 中使用基于 cookie 的身份验证的最少代码是:
using Microsoft.AspNet.Identity;
using Microsoft.Owin;
using Microsoft.Owin.Security;
using Microsoft.Owin.Security.Cookies;
using Owin;
public partial class Startup
{
public void ConfigureAuth(IAppBuilder app)
{
app.UseCookieAuthentication(new CookieAuthenticationOptions
{
LoginPath = new PathString("/account/login"),
LogoutPath = new PathString("/account/logout"),
CookieName = ".YOUR_COOKIE_NAME_HERE",
SlidingExpiration = true,
AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
AuthenticationMode = AuthenticationMode.Active
});
}
}
然后,当您对用户进行身份验证时,您可以执行以下操作:
var claims = new List<Claim>();
claims.Add(new Claim(ClaimTypes.Name, model.UserName));
var identity = new ClaimsIdentity(claims, DefaultAuthenticationTypes.ApplicationCookie);
HttpContext.Current.Request.GetOwinContext().Authentication.SignIn(identity);
并注销:
HttpContext.Current.Request.GetOwinContext().Authentication.SignOut(DefaultAuthenticationTypes.ApplicationCookie);
您还需要在 Global.asax 文件中设置以下值:
using System.Web.Helpers;
using System.Security.Claims;
public class MvcApplication : System.Web.HttpApplication
{
protected void Application_Start()
{
// ... your other startup/registration code ...
AntiForgeryConfig.UniqueClaimTypeIdentifier = ClaimTypes.Name;
}
}
Request.IsAuthenticated
只是检查是否已在当前请求上下文中建立非匿名身份,因此上述任一选项都可以使用。
顺便说一句: 您确实不应该以纯文本形式存储密码。创建用户记录时,请使用 Crypto.HashPassword
创建密码的加盐哈希,存储它,然后在检查用户是否输入了正确的密码时使用 Crypto.VerifyHashedPassword
。您可以找到 Crypto documentation here .
关于C#.NET 使用 isAuthenticated,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/38193377/