Vòng đăng nhập xác thực mẫu Asp.net

Question

Làm cách nào để bạn giải quyết vấn đề vòng lặp đăng nhập vô hạn khi bạn đang sử dụng các phiên không có cookieless và không thể thay đổi tên của login.aspx thành một người gửi khiếu nại?

tức là khi người dùng có quyền quản trị truy cập nút đăng xuất và url trả về của trang bị hạn chế được chuyển đến login.aspx thì người dùng khác không có quyền quản trị để đăng nhập họ được chuyển hướng trở lại trang đăng nhập.

Tôi đã xem qua số solution nhưng tôi không thể thay đổi tên của login.aspx thành trình xử lý http và hàm isauthenticated dường như không hoạt động trong trang aspx với auth cookieless vì biểu mẫu auth ticket có vẻ là bị tước khỏi url khi được chuyển hướng trở lại trang đăng nhập.

EDIT:

Bởi vì ứng dụng này là đã có trong sản xuất, tôi không thể làm thay đổi dòng chảy của trang đăng nhập logout trình// timeout hoặc đổi tên trang đăng nhập.

Answer 1

Kiểm tra xem người dùng có được phép truy cập trang trong returnUrl hay không, sau khi đăng nhập trên trang login.aspx. Bạn có thể sử dụng phương pháp này của UrlAuthorizationModule (hoặc tùy chỉnh một nếu nó hoạt động tốt nhất cho bạn):

System.Web.Security.UrlAuthorizationModule.CheckUrlAccessForPrincipal(

    returnUrl, 
    userPrincipal, 
    GET"); 

Nếu người dùng là không được phép, chỉ cần chuyển hướng đến một trang mà người dùng có thể truy cập.

Để có được chủ yếu sử dụng:

var roles = System.Web.Security.Roles.GetRolesForUser(username); 

var principal = new System.Security.Principal.GenericPrincipal(

    new System.Security.Principal.GenericIdentity(username), 

    roles 

); 

Answer 2

Bạn có thể thay đổi luồng trang không?

Ý của tôi là, thay vào đó chuyển hướng trở lại trang login.aspx khi người dùng không có quyền truy cập vào tài nguyên, chuyển hướng họ đến trang thông tin.

Trang này giải thích lý do cho sự chuyển hướng, và cung cấp cho họ các tùy chọn như:

1. Click here to login as another user. 
2. Click here to request access to the page. 
3. Click here to login again, if your session has expired. 

Điều này sẽ loại bỏ các tham chiếu vòng tròn, và do đó vấn đề.

Answer 3

Một vài tùy chọn ...

Một, chuyển hướng thủ công trở lại Login.aspx khi người dùng đăng xuất, do đó không có ReturnURL. Có một siêu làm mới trên các trang của bạn khớp với thời gian chờ của phiên để người dùng không nhấp vào tài nguyên mà họ đột nhiên không thể truy cập.

Hai, luôn đăng xuất ai đó trong Page_Load của Login.aspx. Hey, tại sao không? Tôi có thể nghĩ ra một số lý do, nhưng có thể họ không áp dụng cho tình huống của bạn.

Ba, bỏ qua ReturnURL. Bạn không cần phải gọi RedirectFromLoginPage! Chuyển hướng người dùng đến trang đích mặc định khi đăng nhập.

Answer 4

Chúng tôi đã có một vấn đề tương tự, và tôi cố định nó làm như sau:

If "LogOut".Equals(e.CommandName) Then 
    FormsAuthentication.SignOut() 
    Response.Redirect("~/Login.aspx") 
End If 

Và sau đó trong Login.aspx chúng ta thay đổi PostBackURL đến Login.aspx nếu nó chứa một tham số ReturnUrl mà gửi cho người dùng trở lại vào Login.aspx.

Answer 5

gì về việc thêm một module http để kiểm tra nếu Request.UrlReferrer là trang đăng nhập và nếu như vậy kiểm tra nếu họ được phép truy cập vào Request.Url và nếu không chuyển hướng chúng đến "Bạn không được phép xem trang này". trang.

Answer 6

Mặc dù bạn nói rằng bạn không thể thay đổi tên của login.aspx thành trình xử lý HTTP, bạn đã thử thêm chuyển hướng HTTP 301 để bất cứ khi nào login.aspx được yêu cầu máy chủ chuyển hướng người dùng đến trình xử lý HTTP, ví dụ: login.ashx?