Asp.Net 4.0 FormAuthentication 原理

 

建立一個使用Asp.Net Membership管理登陸登出信息的網站

 

1. 創建一個Asp.Net Mvc 3 示例網站。

2. 創建自定義的MemberShipProvider，並在Web.CONFIG中配置生效。

a. 創建MyMmbProv

public class MyMmbProv : MembershipProvider
{

...........
    ///implement ValidateUser just return true, so any user name will be ok
    public override bool ValidateUser(string username, string password)
    {
        return true;
    }
}

b. 配置Web.config的Membership/Providers節點。

<;membership defaultProvider="MySqlMembershipProvider">
  <;providers>
    <;clear/>
    <;add name="MySqlMembershipProvider" type="CookieTest.Provider.MyMmbProv" connectionStringName="ApplicationServices"
         enablePasswordRetrieval="false" enablePasswordReset="true" requiresQuestionAndAnswer="false" requiresUniqueEmail="false"
         maxInvalidPasswordAttempts="5" minRequiredPasswordLength="6" minRequiredNonalphanumericCharacters="0" passwordAttemptWindow="10"
         applicationName="/" />;
  </providers>

         注意membership節點的defaultProvider 要設置為新增的MembershipProvider節點的名稱。

3. 設置網站認證模式為Form

<;authentication mode="Forms">
  <;forms loginUrl="~/Account/LogOn" timeout="20" name="cookie_test" defaultUrl="~/Home/About" slidingExpiration="false"  cookieless="UseUri"/>
</authentication>

此時Form認證使用Uri來存儲cookie信息。

 

測試UseUri Form認證

登陸后發現頁面的url中多了一長串類似加密cookie的內容：http://192.168.4.22/(F(fyt-FBDHvrANVba89TNUrMqn9w_ZgSN9xNEX3C8yIfbRIA-q6IyZhnKFh9mWwLN2kxuFUs0HxlKSTBSp7wPyoqxQhJGsguu1lbwjERZ3kfiHt1w7oD8x9LcGwZNjlY-yzM81YcMVyxbY3G74Yp5YOhGswI5NIg4Ehq3FOu0WbSo5BEkUeDbVFkeflmXZDfD70))/Home/About 而且LogOnPartial中顯示出剛才登陸時輸入的用戶名稱

將上述url粘貼到別的瀏覽器（或者其他同一局域網的機器上）（如上次測試使用chrome，這次使用firefox），發現自動登陸進去了，而且顯示出同樣的用戶名，說明在該URL中至少已經包含了用戶名稱信息。

 

也就是說只要能夠拿到用戶登陸的URL就可以直接登陸該用戶的賬號！

 

測試UseCookies Form認證

將cookieless屬性改為UseCookies

<;authentication mode="Forms">
  <;forms loginUrl="~/Account/LogOn" timeout="20" name="cookie_test" defaultUrl="~/Home/About" slidingExpiration="false"  cookieless="UseCookies"/>
</authentication>

用戶登陸后每次頁面請求都會帶上cookie：

從上圖中看到登陸數據提交后，返回的Response Headers有一個Set-Cookie的屬性，這就是該用戶的cookie信息。

登陸后查看其他頁面時的頁面數據如下圖：

 

可以看到，登陸后每個頁面請求的Request Headers 都會加上Cookie(如上圖）。

那如果我們通過javascript給未登陸頁面增加上述cookie信息結果會是怎樣呢？

<script type="text/javascript">


    $(document).ready(function () {

        $("#setCookie").click(function () {

            var cookieVal = $("#inputCookie").val();

            document.cookie = cookieVal;

        });

    });


  
   
   
           </script>
<h2>About</h2>
<p>
    Put content here.
    <br/>
    SessionId: @Session.SessionID

</p>
<div>
    <input type="text" id="inputCookie" />

    <br/>

    <input id="setCookie" value="Set Cookie" type="button"/>
</div>

 

 

此時頁面上顯示為已登錄狀態，不過繼續訪問其他的頁面會有所不同：其中無需認證的頁面不會顯示登錄用戶信息；而有認證要求的頁面卻會顯示出登錄用戶的信息。

 

再將cookie_test=XXXXXXXXX賦給該頁面，然后刷新頁面發現已經是登出狀態。

 

由此可見整個Asp.Net 的FormAuthentication都是依賴於cookie或者uri來實現登錄的。

 

在類FormsAuthentication中可以看到：

private static HttpCookie GetAuthCookie(string userName, bool createPersistentCookie, string strCookiePath, bool hexEncodedTicket)
{
  FormsAuthentication.Initialize();
  if (userName == null)
    userName = string.Empty;
  if (strCookiePath == null || strCookiePath.Length < 1)
    strCookiePath = FormsAuthentication.FormsCookiePath;
  DateTime utcNow = DateTime.UtcNow;
  DateTime expirationUtc = utcNow.AddMinutes((double) FormsAuthentication._Timeout);
  FormsAuthenticationTicket ticket = FormsAuthenticationTicket.FromUtc(2, userName, utcNow, expirationUtc, createPersistentCookie, string.Empty, strCookiePath);
  string str = FormsAuthentication.Encrypt(ticket, hexEncodedTicket);
  if (str == null || str.Length < 1)
    throw new HttpException(System.Web.SR.GetString("Unable_to_encrypt_cookie_ticket"));
  HttpCookie httpCookie = new HttpCookie(FormsAuthentication.FormsCookieName, str);
  httpCookie.HttpOnly = true;
  httpCookie.Path = strCookiePath;
  httpCookie.Secure = FormsAuthentication._RequireSSL;
  if (FormsAuthentication._CookieDomain != null)
    httpCookie.Domain = FormsAuthentication._CookieDomain;
  if (ticket.IsPersistent)
    httpCookie.Expires = ticket.Expiration;
  return httpCookie;
}

FromsAuthenticationTicket 包含了用戶信息、過期時間、是否持久化、cookie路徑，並且進過了加密處理。

 

另外：登陸時勾選記住密碼后在..\Windows\Temporary Internet Files\ 文件夾中會多出一個文件

文件的內容如下：

cookie_test
39F80DBA2E9193EF18498E9B65186DAA0A259873DA0EF839990D457F53BBE2270325838A1BF9FF7409E10E8B13C1E7C805B3F2621C22065EEFAB12F953E4523163FD4ACC9F5312F0EC66112A81FDFFF2B5564481526D5B996F13EA42219AE760DD68CEEDD7E40E8BCD3F68D6E1BC0D73EE9D13798BAFB38B6143B334BE70BD31995430B3FCF90DC3A0514DB180682B9E
192.168.1.3/
9728
3254446592
30352998
4140518480
30352995
*

 

與Request Header 中的Cookie內容比較

cookie_test=39F80DBA2E9193EF18498E9B65186DAA0A259873DA0EF839990D457F53BBE2270325838A1BF9FF7409E10E8B13C1E7C805B3F2621C22065EEFAB12F953E4523163FD4ACC9F5312F0EC66112A81FDFFF2B5564481526D5B996F13EA42219AE760DD68CEEDD7E40E8BCD3F68D6E1BC0D73EE9D13798BAFB38B6143B334BE70BD31995430B3FCF90DC3A0514DB180682B9E

 

多出了IP地址以及過期時間。

cookie的寫入讀取都是由CookielessHelperClass來完成的。

本文測試代碼