ASP.NET 会员密码过期

Question

我正在使用 ASP.NET 成员资格来验证我的 Web 应用程序。 这对我来说非常有用。 我现在必须实现密码过期。

如果密码已过期，则应将用户重定向到 ChangePassword 屏幕，并且在不更改密码的情况下不应允许用户访问应用程序的任何其他部分。

有很多aspx页面。 如果密码已过期，一种解决方案可能是重定向到每个 aspx 的 ChangePassword 屏幕 OnInit。 有没有其他的解决办法或者建议。

谢谢， 贾伊

Answer 1

除了csgero的回答，我发现你不需要在 ASP.Net 2.0 (3.5) 中显式为此事件添加事件处理程序。

您只需在 global.asax 中创建以下方法，它就会为您连接起来：

void Application_PostAuthenticateRequest(object sender, EventArgs e)
{
    if (this.User.Identity.IsAuthenticated)
    {
        // get user
        MembershipUser user = Membership.GetUser();

        // has their password expired?
        if (user != null
            && user.LastPasswordChangedDate.Date.AddDays(90) < DateTime.Now.Date
            && !Request.Path.EndsWith("/Account/ChangePassword.aspx"))
        {
            Server.Transfer("~/ChangePassword.aspx");
        }
    }
}

Answer 2

您可以在 global.asax 中为 HttpApplication.PostAuthenticateRequest 事件添加事件处理程序并在那里处理重定向。

Answer 3

根据 Andrew 的回答，我发现您需要检查用户是否已经在更改密码页面上，否则他们会永远无法真正更改其密码，因此永远不要离开更改密码站点：

void Application_PostAuthenticateRequest(object sender, EventArgs e)
    {
        if (this.User.Identity.IsAuthenticated)
        {
            // get user 
            MembershipUser user = Membership.GetUser();

            // has their password expired? 
            if (user != null
                && user.LastPasswordChangedDate.AddMinutes(30) < DateTime.Now
                && !Request.Path.EndsWith("/Account/ChangePassword.aspx"))
            {
                Server.Transfer("~/Account/ChangePassword.aspx");
            }
        }
    } 

Answer 4

只需大约一个小时即可完成此操作，无需修改您的基本页面。 您需要执行的操作如下：

1. 响应会员控件的 LoggingIn 事件

2. Find在会员数据库中查找用户并获取 LastPasswordChangedDate

3. 使用 TimeSpan，将其与当前日期进行比较并确定上次更改密码的时间是否超过了所需的天数。 我从 web.config 获取此值

4. 如果过期，重定向到 ChangePassword 屏幕

Answer 5

我来这里寻找解决方案，但我当前的技术是 ASP.NET MVC。 因此，为了帮助其他人：您可以扩展 AuthorizeAttribute，并重写 OnAuthorization 方法，如下所示：

public class ExpiredPasswordAttribute : AuthorizeAttribute
{
    public override void OnAuthorization(AuthorizationContext filterContext)
    {
        IPrincipal user = filterContext.HttpContext.User;

        if(user != null && user.Identity.IsAuthenticated)
        {
            MembershipUser membershipUser = Membership.GetUser();

            if (PasswordExpired) // Your logic to check if password is expired...
            {
                filterContext.HttpContext.Response.Redirect(
                    string.Format("~/{0}/{1}?{2}", MVC.SGAccount.Name, MVC.SGAccount.ActionNames.ChangePassword,
                    "reason=expired"));

            }
        }

        base.OnAuthorization(filterContext);
    }
}

注意：我使用 T4MVC 来检索上面代码中的控制器和操作名称。

使用此属性标记除“AccountController”之外的所有控制器。 这样做，密码过期的用户将无法浏览该网站。

这是我就该主题发表的一篇文章，其中有一些优点：

ASP.NET MVC 中的用户密码过期过滤器属性

Answer 6

我使用了上面的代码，只对其进行了轻微修改，以便使用 .NET 身份提供程序在 Asp.NET (4.5) MVC5 中实现。 把它留在这里给下一个人/女孩:)

void Application_PostAuthenticateRequest(object sender, EventArgs e)
    {
        if (this.User.Identity.IsAuthenticated)
        {
            WisewomanDBContext db = new WisewomanDBContext();

            // get user
            var userId = User.Identity.GetUserId();
            ApplicationUser user = db.Users.Find(userId);

            // has their password expired?
            if (user != null && user.PasswordExpires <= DateTime.Now.Date
                && !Request.Path.EndsWith("/Manage/ChangePassword"))
            {
                Response.Redirect("~/Manage/ChangePassword");
            }

            db.Dispose();
        }
    }