如何在 ASP.NET MVC 3 Intranet 应用程序中重新验证用户身份？

Question

该应用程序已经使用 Windows 集成安全性，而不是 Forms。我想要完成的是所谓的“逐步”身份验证，或“强制重新身份验证”，适用于以下场景：

1. 用户正在浏览网站，
2. 突然做一些常见的、琐碎的事情，用户必须执行敏感操作比如授权 资源分配或确认汽车贷款或类似的操作，
3. 在用户被重定向到之前，系统会提示用户输入凭据 敏感页面，其方式类似于 SharePoint 的“登录身份” 不同的用户”
4. 当且仅当输入的凭据是 与当前登录用户的应用程序相同 继续前往敏感区域。

这可以防止以下两个问题：

1. 用户去开会或喝咖啡时忘记锁定 工作站和同事使用会话来访问敏感信息 区域
2. 用户输入他或她老板的凭据（因为，让我们 假设他从老板的肩膀上偷看）以进入敏感区域。

我知道，有些人会认为这是“偏执”，但也有些人会说这是常识，应该在某个地方的框架中构建（jQuery 或 .NET）

Answer 1

让表单发送凭据以及执行操作的请求，即某些操作要求您提供用户名/密码。使用 PrimaryContext ValidateCredentials 方法确保输入了正确的凭据并检查提供的用户名是否与 User.Identity 对象中的当前用户名匹配。

public ActionResult SensitiveAction( SensitiveModel model, string username, string password )
{
    using (var context = new PrincipalContext(ContextType.Domain))
    {
         if (!string.Equals(this.User.Identity.Name,username,StringComparison.OrdinalIgnoreCase)
             || !context.ValidateCredentials(username,password))
         {
              return View("PermissionDenied");
         }
    }

    ...
}

Answer 2

用户去开会或喝咖啡时忘记锁定工作站，同事使用会话访问敏感区域

这仅在第一次有效，但现在老板进入敏感区域，重新输入她的凭据，然后继续咖啡。您会提示每个敏感请求吗？用户不会忍受这一点。

用户输入其老板的凭据（因为，假设他从老板的肩膀上偷看）以访问敏感区域。

如果有人知道并输入其老板的凭据，您将无法检测到这一点。