Vahid_moghaddam
سه شنبه 12 مرداد 1389, 13:15 عصر
سلام
میشه در این مورد بیشتر توضیح بدین آقای مقدم؟
آخه اینطوری که دوستان گفتن استفاده از Memebership یه جورایی برنامه نویس رو محدود میکنه
اگه توی دیتابیس Relation بین جدولها رو دستی کنترل کرد و دسترسی های کاربر رو توی session ریخت بازم خطرناکه؟
ممنون از راهنماییتون
در احراز هویت دو چیز مهمه:
1.کاربر مجازه یا نه
2.سطح دسترسی کاربر به هر بخش، در چه حده.
مورد 2 به سادگی با استفاده از role قابل بررسیه.
کد های زیر بهینه نیستند و فقط به عنوان مثال گذاشته شدن:
login کردن:
//....
UserData ud = bm.IsUserExist(userName, Password, out mes);
bool ok = ud == null ? false : true;
if (ok)
{
DateTime expiration = new DateTime();
expiration = DateTime.Now.AddMinutes(20);
if (remember)
expiration = DateTime.Now.AddDays(14);
string userData = "";
string roles = bm.GetUserRolesString(ud.UserID);
userData = ud.UserID.ToString() + "-" + roles;
FormsAuthenticationTicket Ticket = new FormsAuthenticationTicket(1, ud.Name, DateTime.Now, expiration, true, userData, FormsAuthentication.FormsCookiePath);
string encTicket = FormsAuthentication.Encrypt(Ticket);
HttpCookie c = new HttpCookie(FormsAuthentication.FormsCookieName, encTicket);
if (remember)
c.Expires = Ticket.Expiration;
Response.Cookies.Add(c);
string strRedirect = string.Empty;
strRedirect = Request.QueryString["ReturnUrl"];
if (strRedirect == null)
{
Response.Redirect(Request.Url.AbsoluteUri);
}
else
{
Response.Redirect(strRedirect);
}
}
//.....
برای چک کردن اینکه کاربر احراز هویت شده:
if (Context.User.Identity.IsAuthenticated)
{
//.....
}
برای کار با نقش ها(فرض کنید رشته roles در کد بالا به این شکله 0_0|0_1|1_20)
در Global.asax
protected void Application_AuthenticateRequest(object sender, EventArgs e)
{
// look if any security information exists for this request
if (HttpContext.Current.User != null)
{
// see if this user is authenticated, any authenticated cookie (ticket) exists for this user
if (HttpContext.Current.User.Identity.IsAuthenticated )
{
// see if the authentication is done using FormsAuthentication
if (HttpContext.Current.User.Identity is FormsIdentity)
{
// Get the roles stored for this request from the ticket
// get the identity of the user
FormsIdentity identity = (FormsIdentity)HttpContext.Current.User.Identity;
// get the forms authetication ticket of the user
FormsAuthenticationTicket ticket = identity.Ticket;
// get the roles stored as UserData into the ticket
string _roles = ticket.UserData.Split('-')[1];
string[] roles = _roles.Split('|');
// create generic principal and assign it to the current request
HttpContext.Current.User = new System.Security.Principal.GenericPrincipal(identit y, roles);
}
}
}
}
و خوندن نقش ها:
if ((User.Identity.IsAuthenticated) && (User.IsInRole("10_4")))
{
//......
}
برای مشخص کردن سطح دسترسی در web.config :
<location path="edituser.aspx">
<system.web>
<authorization>
<deny users="?"/>
</authorization>
</system.web>
</location>
دوباره در web.config اگه بخوایم دسترسی رو به داشتن نقش خاصی محدود کنیم:
<location path="mcat.aspx">
<system.web>
<authorization>
<allow roles="6_4"/>
<deny users="*"/>
</authorization>
</system.web>
</location>