验证请求事件

Question

问 1. 据我了解，FormsAuthenticationModule 订阅了 AuthenticateRequest 事件，因此只有在触发该事件后，才会调用 FormsAuthenticationModule。 但以下引用让我有点困惑：

1. AuthenticateRequest 事件表示配置的身份验证机制已对当前请求进行身份验证。

   • 上面的引用是否表明，当引发 AuthenticateRequest 事件时，请求（也称为用户）已经通过身份验证？

2. <块引用>

   订阅 AuthenticateRequest 事件可确保在处理附加模块或事件处理程序之前对请求进行身份验证。

   • 据我理解这句话，如果我们订阅 AuthenticatedRequest，那么我们的事件处理程序将在 FormsAuthenticationModule 之前调用？ 因此 Application_AuthenticateRequest() 将在调用 FormsAuthenticationModule 之前调用？

问题2.我正在学习的书建议，在Application_AuthenticateRequest()中，我们能够验证用户是否是特定角色的成员，如果不是，我们可以自动添加用户：

    protected void Application_AuthenticateRequest(Object sender, EventArgs e)
    {
            if (User.Identity.IsAuthenticated && Roles.Enabled)
            {

                //here we can subscribe user to a role via Roles.AddUserToRole()
            }       
    }

从上面的代码来看，Application_AuthenticateRequest()是在调用FormsAuthenticationModule之后调用的，但同一本书的其他地方暗示Application_AuthenticateRequest()被调用在 FormsAuthenticationModule 之前：

<块引用>

Application_AuthenticateRequest 在执行身份验证之前调用。 这是创建您自己的身份验证逻辑的起点。

我错过了什么？

谢谢

Answer 1

似乎 FormsAuthenticationModule 首先得到处理。 该模块通常早于 ASP.NET 管道中的任何自定义模块，因此当 AuthenticateRequest 被触发时，FormsAuthenticationModule 将首先被调用，完成其工作，然后调用模块的事件处理程序。

如果您确实想深入研究这一点，我建议您尝试自己调试 ASP.NET 代码。 这是一篇如何设置 VS 的文章：

http://weblogs.asp.net/scottgu/archive/2008/01/16/net-framework-library-source-code-now-available.aspx

编辑：我能够通过在 Global.asax 中使用自定义模块和事件处理程序设置一个 Web 项目来确认此行为。 看一下HttpApplication.InitInternal的源码，初始化的顺序如下：

• 集成模块的初始化：FormsAuthenticationModule 挂接 HttpApplication.AuthenticateRequest 事件
• 自定义模块的初始化：自定义模块挂接
• Global 的 HttpApplication.AuthenticateRequest 事件初始化类（global.asax）：这里我们连接到AuthenticateRequest事件
• HttpApplication.InitInternal按照特定的名称模式（例如Application_AuthenticateRequest）搜索Global类上的方法，将它们与事件匹配并连接

初始化后，当AuthenticateRequest触发时，事件处理程序按照初始化的顺序调用，因此：

• FormsAuthenticationModule.AuthenticateRequest 事件处理程序
• CustomModule.AuthenticateRequest 事件处理程序
• Global.AuthenticateRequest 事件处理程序
• Global.Application_AuthenticateRequest 方法

除非我错过了某些内容，否则没有机制可以阻止事件处理程序触发，因此，无论 FormsAuthenticationModule.AuthenticateRequest 的结果如何，下一个处理程序仍然会被调用。 我希望这有帮助。

Answer 2

如果您想访问 User 对象，我建议您使用

protected void Application_Start()
{
    PostAuthenticateRequest += Application_PostAuthenticateRequest;
}

protected void Application_PostAuthenticateRequest(object sender, EventArgs e)
{
    if(User.Identity.IsAuthenticated)
    {
        //Do stuff here
    }
}