使用自定义 (asp.net) 表单的 NTLM 身份验证

发布于 2024-08-20 09:58:02 字数 126 浏览 6 评论 0原文

是否可以使用 NTLM(在 asp.net 上)以编程方式对用户进行身份验证?

我想控制网站的外观和感觉,我将有一个用户输入用户名/密码的表单。然后我会查询 NTLM 以验证提供的信息,如果有效,请将它们重定向到虚拟目录?

Is it possible to programatically authenticate a user using NTLM (on asp.net)?

I would like to have control over the look and feel of the website where I would have a form that users enter their username/password. I would then query NTLM to validate the provided information and if valid, redirect them to a virtual directory?

如果你对这篇内容有疑问,欢迎到本站社区发帖提问 参与讨论,获取更多帮助,或者扫码二维码加入 Web 技术交流群。

扫码二维码加入Web技术交流群

发布评论

需要 登录 才能够评论, 你可以免费 注册 一个本站的账号。

评论(1

墨落画卷 2024-08-27 09:58:02

NTLM 是 Web 浏览器直接与 Web 服务器(例如 IIS)对话以验证用户身份的协议,而不涉及您的应用程序。这就是您想要避免的,因为您想要呈现一个“漂亮”的登录表单。

因此,您需要做的是:在表单中提示输入用户名和密码,并自行根据 Active Directory 验证这些凭据。下面是一篇 Microsoft 文章,介绍了如何在 ASP.NET 中执行此操作:http://support。 microsoft.com/kb/326340/en-us

但是请记住几点:

  • 不要忘记,与 NTLM 的情况不同,用户的密码将以明文形式传输,除非您使用 SSL 发布网络地点。您绝对不应该允许用户在未加密的网站上输入他们的 AD 密码。
  • 如果您的某些用户之前已自动进行身份验证(透明登录,根本不提示输入密码)(这应该是 Intranet 场景中的默认行为),那么这些用户不会喜欢您的登录表单,无论它看起来多么漂亮。 IIS6
  • 中的默认行为是仅保护 ASP.NET 生成的页面;由于您必须将 IIS 配置为允许对应用程序进行匿名请求,因此任何用户都可以请求静态文件。

NTLM is the protocol the web browser would talk directly to the web server (e. g. IIS) to authenticate the user, without your application being involved. That's what you want to avoid, because you want to present a "nice" logon form.

So what you need to do is: prompt for user name and password in a form, and validate these credentials against Active Directory yourself. Here is a Microsoft article describing how to do it in ASP.NET: http://support.microsoft.com/kb/326340/en-us

However please remember a few points:

  • Don't forget that, unlike in case of NTLM, user's passwords will be transmitted in clear text unless you use SSL to publish the web site. You never should users allow to enter their AD password on an unencrypted web site.
  • If some of your users were automatically authenticated (transparent login, no prompt for password at all) before, which should be the default behavior in an Intranet scenario, these users won't like your login form, no matter how nice it looks...
  • The default behavior in IIS6 would be that only pages generated by ASP.NET would be protected; as you would have to configure IIS to allow anonymous requests to the applications, static files could be requested by any user.
~没有更多了~
我们使用 Cookies 和其他技术来定制您的体验包括您的登录状态等。通过阅读我们的 隐私政策 了解更多相关信息。 单击 接受 或继续使用网站,即表示您同意使用 Cookies 和您的相关数据。
原文