ASP.NET 中的表单身份验证问题

Question

我使用的是 Visual Studio Team System 2008 (VSTS)、C#、.NET 3.5、IIS 7.0 和 ASP.NET。我有两个 IIS 网站，站点 A 和站点 B。它们的相关域名是 http://sitea.example.com 和 http://siteb.example.com代码>.

我听说使用表单身份验证时，我们可以启用域级别 cookie，也就是说，如果两个站点位于同一域中（例如 sitea.example.com 和 siteb.example.com< /code> 位于域 example.com 中），最终用户只需验证一次。更具体地，如果用户通过其中一个站点的认证（通过认证），则无需在其他站点再次对用户进行认证。

如何为我的 sitea 和 siteb 启用此功能？我是否需要更改 sitea 和 siteb 的 web.config？

另外一个困惑是，如果用户通过了sitea的认证，那么可以肯定的是，sitea可以识别用户的身份，但是siteb怎么能识别呢？无需再次验证用户的身份？

Answer 1

假设两个站点共享相同的会员数据库，那么您可以在 表单中设置 cookie 域web.config 的身份验证 部分；

<authentication mode="Forms">
    <forms .... domain="mycorp.com"/>
</authentication>

请注意，您还必须在web.config，因为它们用于签署身份验证 cookie。

Answer 2

MSDN 上有一个 示例。

Answer 3

此链接提供了一些详细信息 http: //docs.communityserver.com/2007/270-common-things-to-check-when-using-forms-authentication/

基本上，您需要在 中添加域属性web.config 文件的 标记内的 ; 标记。

例如

<authentication mode="Forms">
<forms name=".CookieName" ... domain=".mydomain.com" />
</authentication>

Answer 4

在 web.config 中的表单标记中将域属性设置为 .mycorp.com

Answer 5

我建议采用 Stack Overflow、Microsoft、Facebook、Google Accounts 的方式，这甚至更有效，因为每个网站都可以位于任何不同的计算机上。

假设您有 AuthSite。这是您必须登录并包含会员信息的唯一网站。

并且您在不同的服务器上有 SiteA、SiteB 和 SiteC。

在 SiteA 的登录页面上，您必须在 AuthSite 上设置带有机密的表单帖子。

如果您之前已成功登录 AuthSite，它只会重定向回 SiteA，并以浏览器中隐藏表单帖子的形式成功提供机密，您必须在 SiteA 中进行验证。

该模型具有高度的可扩展性和可伸缩性。因为从长远来看，维护很容易。

SiteA、SiteB 和 SiteC 的登录页面代码如下。

SiteA、SiteB 和 SiteC 上的 Login.aspx：

private void Page_Load(object sender, EventArg e){
   // Simply redirect back to AuthSite...
   // Change Site parameter accordingly.
   Response.Redirect("http://authsite/Login.aspx?Site=SiteA");
}

AuthSite 上的 Login.aspx：

// Define one hidden field named "ReturnSite".

private void Page_Load(object sender, EventArg e){

   if(IsPostBack)
       return;
   string site = Request.QueryString["Site"];
   if(Request.User.IsAuthenticated){
       string secrete = CreateSomeSecrete(site);
       Response.Redirect("http://" + site + 
           "/AuthConfirm.aspx?Token=" + secrete + 
           "&User=" + Request.User.Identity.Name);
       return;
   }

   ReturnSite.value = site;
   // Do usual login...
}

private void LoginButton_Click(object sender, EventArg e){
   string secrete = CreateSomeSecrete(ReturnSite.value);
   FormAuthentication.SetAuthCookie(username,true);
   // You can retrive username later by calling 
   // Request.User.Identity.Name.
   Response.Redirect("http://" + ReturnSite.value + 
      "/AuthConfirm.aspx?Token=" + secrete + "&User=" + username);
}

SiteA、SiteB 和 SiteC 上的 AuthConfirm.aspx：

private void Page_Load(object sender, EventArg e){
   string secrete = Request.QueryString["Token"];
   // Verify that secret came only from AuthSite.
   if(VerifySecrete(secrete)){
       // This sets authentication cookie for Current Site
       FormsAuthentication.SetAuthCookie(Request.QueryString["User"], true);
   }
}

现在让我们看看不同的场景。

同一用户，首次登录

1. 第一个用户 John 访问 SiteA（尚未登录）时会被重定向到 AuthSite。
2. AuthSite 检查并发现用户没有身份验证 cookie，因此会询问实际凭据。
3. AuthSite 在自身上设置令牌并将机密传递到 SiteA 上的 AuthConfirm 页面。 SiteA 验证令牌并设置身份验证 cookie，并允许用户访问安全页面。

同一用户，第一次访问 SiteB

1. 用户 John 已使用 AuthSite 成功登录到 SiteA，现在尝试访问 SiteB。
2. SiteB 发现用户未登录，因此将其定向到 AuthSite。
3. AuthSite 发现用户已经拥有 AuthSite 网站的 cookie。
4. AuthSite 使用身份验证密钥将用户重定向回 SiteB。
5. SiteB 验证秘密并让 John 继续安全访问
   页。