身份验证
ASP.NET中身份认证有如下几种方式：
（1）Windows:使用Windows操作系统和NTFS文件系统验证，适合公司内部站点使用，不适合大众商业站点 。
（2）Forms：利用网页向客户端发送凭证，客户端再把凭证提交给应用程序进行身份验证（使用最普遍）。
（3）passport：一种单点登录标准（微软提供使用付费国内应用较少）。
本教程主要讲解Forms身份验证：
（1） 在配置文件中进行配置身份验证，（用户凭证分别使用明文和MD5进行演示），只有输入了正确用户名和
密码才能访问网站页面。
（2） 在配置文件中配置目录访问规则，登录所有用户可以访问页面，某些登录用户可以访问VIP目录，某些登录
用户可以访问Admin用户。
一、网站目录结构
后面所有的测试案例都是基于以下网站目录结构为基础来进行的。
0013.PNG
二、阻挡所有匿名访问
在配置文件中进行配置身份验证，（用户凭证分别使用明文和MD5进行演示），只有输入了正确用户名和密码才
能访问网站页面。
（1）网站根目录中配置身份验证信息。
在<system.web>节点中新增如下配置，此用户凭证也可以在数据库中存储用户名和密码。
<!--设置身份验证信息-->
<authentication mode="Forms">
<!--设置验证页面和默认跳转地址-->
<forms loginUrl="Login.aspx" defaultUrl="Index.aspx">
<!--用户凭证（用户名&密码） passwordFormat="Clear":明文-->
<!--<credentials passwordFormat="Clear">
<user name="liubei" password="123456"/>
<user name="guanyu" password="123456"/>
<user name="zhangfei" password="123456"/>
<user name="zhaoyun" password="123456"/>
<user name="machao" password="123456"/>
<user name="mahuateng" password="123456"/>
</credentials>-->
<!--用户凭证（用户名&密码） passwordFormat="Clear":明文-->
<credentials passwordFormat="MD5">
<user name="liubei" password="E10ADC3949BA59ABBE56E057F20F883E"/>
<user name="guanyu" password="E10ADC3949BA59ABBE56E057F20F883E"/>
<user name="zhangfei" password="E10ADC3949BA59ABBE56E057F20F883E"/>
<user name="zhaoyun" password="E10ADC3949BA59ABBE56E057F20F883E"/>
<user name="machao" password="E10ADC3949BA59ABBE56E057F20F883E"/>
<user name="mahuateng" password="E10ADC3949BA59ABBE56E057F20F883E"/>
</credentials>
</forms>
</authentication>
（2）访问规则授权控制，在<system.web>节点中新增如下配置
<!--设置访问规则授权-->
<authorization>
<deny users="?"/> <!--deny:拒绝访问,?:匿名用户-->
</authorization>
（3）登录页面代码：
<html xmlns="http://www.w3.org/1999/xhtml">
<head runat="server">
<title></title>
</head>
<body>
<form id="form1" runat="server">
<div>
<h1>登录</h1>
<p>
账号：<asp:TextBox ID="txtAccount" runat="server"></asp:TextBox>
</p>
<p>
密码：<asp:TextBox ID="txtPwd" runat="server" TextMode="Password"></asp:TextBox>
</p>
<p>
<asp:Button ID="btnLogin" runat="server" Text="登录" onclick="btnLogin_Click"/>
</p>
</div>
</form>
</body>
</html>
public partial class Login : System.Web.UI.Page
{
protected void Page_Load(object sender, EventArgs e)
{
}
#region 用户登录
protected void btnLogin_Click(object sender, EventArgs e)
{
//根据配置文件进行登录用户名密码的判断(如果数据库存储用户名密码，用户名密码判断也可以从数据库读取)
if (System.Web.Security.FormsAuthentication.Authenticate(this.txtAccount.Text, this.txtPwd.Text) == true) //登录成功
{
//方案一：
//System.Web.Security.FormsAuthentication.SetAuthCookie(this.txtAccount.Text, false);
////如果访问其它页面，没有凭证，会自动跳转到登录页面，并返回ReturnUrl，记录访问地址
//if (Request.QueryString["ReturnUrl"] == null)
//{
// Response.Redirect("Index.aspx");
//}
//else
//{
// Response.Redirect(Request.QueryString["ReturnUrl"]);
//}
//方案二：
System.Web.Security.FormsAuthentication.RedirectFromLoginPage(this.txtAccount.Text, false);
}
else
{
Page.ClientScript.RegisterStartupScript(this.GetType(), "js", "<script>alert('用户名或密码错误！');window.location.href='Login.aspx';</script>");
}
}
#endregion
}
三、配置目录访问权限
（1）如果需要配置所有匿名用户和mahuateng都不能访问网站，则<system.web>节点中新增如下配置：
<!--设置访问规则授权-->
<authorization>
<deny users="?,mahuateng"/> <!--deny:拒绝访问,?:匿名用户(代表匿名用户和mahuateng不能访问页面)-->
</authorization>
（2）如果人员角色如下：
【1】liubei,guanyu,zhangfei公司领导。
【2】zhaoyun,machao普通员工。
【3】mahuatengIT管理员
普通员工只能访问根目录Index,公司领导访问根目录Index和VIP所有内容,IT管理员只能访问Admin所有内容
则可以在<configuration>节点中配置如下：
<!--配置VIP目录访问规则授权-->
<location path="VIP">
<system.web>
<authorization>
<deny users="?,zhaoyun,machao,mahuateng"/>
</authorization>
</system.web>
</location>
<!--配置目录访问规则授权，此配置也可以直接写在目录的web.config中-->
<location path="Admin">
<system.web>
<authorization>
<allow users="mahuateng"/>
<deny users="*"/>
</authorization>
</system.web>
</location>
