作者：寒羽楓(cityhunter172)
序
代碼寫 N 久了，總想寫得別的。這不，上頭說在整合兩個項目，做成單一登錄（Single Sign On），也有人稱之爲“單點登錄”。查閱相關文檔後，終於實現了，現在把它拿出來與大家一起分享。或許大家會問：“這與標題不符呀？”別急，在下筆之前，我腦子裏想到了我剛使用 Form 認證時遇到的一些問題，以及使用過程用到的一些技巧（實乃投機取巧是也 ^_^ ）。偶打初中那時，語文水平就不怎麼滴，考試常常作文寫不出來，所以寫作水平有限，還請大家海量。對了，本人不僅寫作水平有限，編程能力也不是很好，此文供大家學習交流之用，歡迎廣大勞苦羣衆拎着雞蛋、捧着鮮花前來評論。轉載請註明原創作者乃寒羽楓是也，不甚感激！
廢話也說的差不多了，言歸正傳， ASP.NET 的安全認證，共有“Windows”“Form”“Passport”“None”四種驗證模式。“Windows”與“None”沒有起到保護的作用，不推薦使用；“Passport”我又沒用過，唉……所以我只好講講“Form”認證了。我打算分三部分：
第一部分 —— 怎樣實現From 認證；
第二部分 —— Form 認證的實戰運用；
第三部分 —— 實現單點登錄（Single Sign On）
第一部分 如何運用 Form 表單認證
一、 新建一個測試項目
爲了更好說明，有必要新建一個測試項目（暫且爲“FormTest”吧），包含三張頁面足矣（Default.aspx、Login.aspx、UserInfo.aspx）。啥？有人不會新建項目，不會新增頁面？你問我咋辦？我看這麼辦好了：拖出去，打回原藉，從幼兒園學起……
二、 修改 Web.config
1、 雙擊項目中的Web.config（不會的、找不到的打 PP）
2、 找到下列文字 <authentication mode="Windows" /> 把它改成：
<authentication mode="Forms">
<forms loginUrl="Login.aspx" name=".ASPXAUTH"></forms>
</authentication>
3、 找到<authorization> <allow users="*" /></authorization>換成
<authorization><deny users="?"></deny></authorization>
這裏沒什麼好說的，只要拷貝過去就行。雖說如此，但還是有人會弄錯，如下：
<authentication mode="Forms">
<forms loginUrl="Login.aspx" name=".APSX"></forms>
<deny users="?"></deny>
</authentication>
若要問是誰把 <deny users="?"></deny> 放入 <authentication> 中的，我會很榮幸地告訴你，那是 N 年前的我：<authentication> 與 <authorization> 都是以 auth 字母開頭又都是以 ation 結尾，何其相似；英文單詞背不下來的我以爲他們是一夥的……
三、 編寫 .cs 代碼——登錄與退出
1、 登錄代碼：
a、 書本上介紹的
private void Btn_Login_Click(object sender, System.EventArgs e)
{
if(this.Txt_UserName.Text=="Admin" && this.Txt_Password.Text=="123456")
{
System.Web.Security.FormsAuthentication.RedirectFromLoginPage(this.Txt_UserName.Text,false);
}
}
b、 偶找了 N 久才找到的
private void Btn_Login_Click(object sender, System.EventArgs e)
{
if(this.Txt_UserName.Text=="Admin" && this.Txt_Password.Text=="123456")
{
System.Web.Security.FormsAuthentication.SetAuthCookie(this.Txt_UserName.Text,false);
Response.Redirect("Default.aspx");
}
}
以上兩種都可發放驗證後的 Cookie ，即通過驗證，區別：
方法 a) 指驗證後返回請求頁面，俗稱“從哪來就打哪去”。比如：用戶沒登錄前直接在 IE 地址欄輸入 http://localhost/FormTest/UserInfo.aspx ，那麼該用戶將看到的是 Login.aspx?ReturnUrl=UserInfo.aspx ，輸入用戶名與密碼登錄成功後，系統將根據“ReturnUrl”的值，返回相應的頁面
方法 b) 則是分兩步走：通過驗證後就直接發放 Cookie ，跳轉頁面將由程序員自行指定，此方法多用於 Default.aspx 使用框架結構的系統。
2、 退出代碼：
private void Btn_LogOut_Click(object sender, System.EventArgs e)
{
System.Web.Security.FormsAuthentication.SignOut();
}
第二部分 Form 認證的實戰運用
話說上回，簡單地說了一下 Form 表單認證的用法。或許大家覺得太簡單，對那些大內高手來說應該是“灑灑水啦”“小 Kiss 啦（小意思）”。今天咱們來點的花樣吧：古有六扇門，拒收葉孤城；東門不颳風，吹雪姓西門；緞帶作憑證，決戰紫禁城。
五、 Web.config 的作用範圍
新建項目時， VS.Net 會在項目根目錄建立一個內容固定的 Web.config。除了在項目根目錄，你還可以在任一目錄下建立 Web.config ，條件就是應用程序級別的節點只能在根目錄的 Web.config 中出現。至於哪些是應用程序級別節點呢，這個問題嘛，其實我也不太清楚，呵呵。電腦不是我發明的，微軟不是我創建的，C# 更不是我說了算的，神仙也有不知道的，所以我不曉得是正常的。話雖如此，只要它不報錯，那就是對的。
關於 Web.config 設置的作用範圍，記住以下兩點：
1、 Web.config 的設置將作用於所在目錄的所有文件及其子目錄下的所有東東（繼承：子隨父姓）
2、 子目錄下的 Web.config 設置將覆蓋由父目錄繼承下來的設置（覆蓋：縣官不如現管）
給大家提個問題：有沒有比根目錄Web.config 的作用範圍還大的配置文件呢？看完第三部分便知分曉。
六、 學會拒絕與巧用允許
回到我們在第一回合新建的測試項目“FormTest” ， 既然要進行驗證，按國際慣例，就得有用戶名與密碼。那，這些用戶是管理員自己在數據庫建好呢，還是用戶註冊、管理員審覈好呢。只要不是一般的笨蛋，都知道 選擇後者。你們還別說，我公司還真有個別項目是管理員連到數據庫去建帳號的，屬於比較特殊的笨蛋，咱們不學他也罷，還是老老實實添加兩個頁面吧——註冊頁 面（Register.aspx）與審覈頁面（Auditing.aspx）。
問題終於就要浮出水面啦，當你做好 Register.aspx 時，想訪問它的時候突然覺得不對勁，怎麼又回到了登錄頁面？你仔細瞧瞧網址，是不是成了：Login.aspx?ReturnUrl=Register.aspx 。怎麼辦，用戶就是因爲沒有帳號纔去訪問註冊頁面的呀？（這句純屬廢話，有帳號誰還跑去註冊。）我時常對我的同事說：“辦法是人想出來滴！！”
1、 新建一個目錄 Public ，用於存放一些公用的文件，如萬年曆、腳本呀……
2、 在“解決方案資源管理器”中右擊點擊目錄 Public ，新增一個 Web.config
3、 把上述 Web.config 的內容統統刪除，僅留以下即可：
<?xml version="1.0" encoding="utf-8"?>
<configuration>
<system.web>
<authorization><allow users="*"/></authorization>
</system.web>
</configuration>
終於切入正題了，不容易呀。根據“覆蓋”原則，我們知道上述 Web.config 將替代根目錄 Web.config 中的 <authorization> 節點設置，即：
<allow users="*"/> 替換 <deny users="?"></deny>
註解：“allow”允許的意思；“*”表示所有用戶；
“deny” 拒絕的意思；“?”表示匿名用戶；
因此，處於 Public 目錄下的文件，允許所有人瀏覽，包括未驗證的用戶。把 Register.aspx 拖進來吧，再也不會有人阻止你瀏覽啦。
除了註冊頁面，我們還提到一個審覈頁面（Auditing.aspx），審覈權限一般都在管理員或主管手裏，並不想讓其他人瀏覽此頁面（真理往往掌握在少數人的手裏，這也是沒法子的事），怎麼辦？“辦法是人想出來滴”呵呵……新建一個管理員的目錄 ManageSys ，在此目錄下再新增一個 Web.config。內容如下：
<?xml version="1.0" encoding="utf-8"?>
<configuration>
<system.web>
<authorization>
<allow users="Admin"/>
<deny users="*"/>
</authorization>
</system.web>
</configuration>
現在的問題就是怎麼才能知道誰是“Admin”呢，這個問題就有點象“我的鞋底有個洞”—— 天不知地知，你不知我知。閒話少說（要是有稿費多好，我就有多寫幾個字的動力，唉……），大家還記得我在第一部分的結尾嗎？什麼，忘啦！罰你回去看一百遍，記住了再回來。站住，回來！一想到你的記性，我就不放心，第一部分的瀏覽網址是http://blog.csdn.net/cityhunter172/archive/2005/11/06/524043.aspx ，回到此處的網址是http://blog.csdn.net/cityhunter172/archive/2005/11/13/528463.aspx
好了，不管那些記不好的傢伙了，大夥繼續往下看。
System.Web.Security.FormsAuthentication.SetAuthCookie(this.Txt_UserName.Text,false); //通過驗證，發放 Cookie
之前我曾強調，要注意，第一個參數很重要，重要到什麼程度？說到這，恐怕地球人都知道了——它就是allow與deny的依據。假如此處用戶填寫的是“Admin”即 this.Txt_UserName.Text = "Admin"; 那麼進入系統後，他就能訪問 ManageSys 目錄下的網頁了，其它閒雜人等一律拒之門外。
爲鞏固上述內容，給大夥留個課外作業：此項目有兩部門使用，其中每個部門分別都有些特定的頁面僅供本部門用戶瀏覽使用，請問該如何使用 Web.config 達到效果？同樣，答案在第三部分揭曉
七、 分散與集中
乍看之下，就象是馬克思列寧主義、毛Zedong思想、鄧xiaoping理論中的辯證關係，大夥放心，偶是學理科的，只明白“高舉程序員的偉大旗幟，以編寫代碼爲中心”。停……
到目前爲此，我們的測試項目“FormTest”已經擁有兩個目錄三個 Web.config ，伴隨用戶需求的多樣化，Web.config 也會越來越多，比如常用的文件上傳功能等等。衆多的 Web.config 分佈在不同的目錄裏面，維護起來肯定比較煩人。能不能集中起來管理呢，應該咋辦哩？“辦法是……”喲，有人先說出來啦。不錯，“辦法的確是人想出來滴” ，我不說，你是不是隻有在一邊涼伴？開玩笑的，爲了讓更多的人記住這句話，我打算告訴你集中管理的辦法。
要想集中管理，不得不用到 <location> 節點與 path 屬性。在本項目中，我們將目錄 Public 與 ManageSys 下的設置放在根目錄下的 Web.config 裏面，如下：
<?xml version="1.0" encoding="utf-8"?>
<configuration>
<location path ="Public">
<system.web>
<authorization>
<allow users="*"/>
</authorization>
</system.web>
</location>
<location path ="ManageSys">
<system.web>
<authorization>
<allow users="Admin"/>
<deny users="*"/>
</authorization>
</system.web>
</location>
<system.web>
<!-- 這裏放置原來根目錄 Web.config 的內容，就不列出來了 -->
</system.web>
</configuration>
需要提醒的是
1、 <location> 節點的位置是在 <configuration> 的一個子節點，它與原有的 <system.web> 屬於並列關係
2、 <location> 節點只需要放入對應子目錄 Web.config 中的 <system.web> 的節點內容
（本文出自寒羽楓 cityhunter172 的博客：http://blog.csdn.net/cityhunter172 個人站點：http://172.meibu.com）