后台登录

窗体验证与登录

身份验证是确定用户身份的过程；授权是确定通过身份验证的用户对应用程序访问的权限，在https://www.360docs.net/doc/011039487.html,中，授权是使用角色管理服务来实现的。不同身份的用户应有不同的访问权限，在https://www.360docs.net/doc/011039487.html,中，最常用的身份验证是Forms验证。

1、Forms验证

①设置应用程序目录下的Web.config

//指定未登录时定向的页面，可以不指定

②设置需保护目录的Web.config

//表示拒绝匿名用户，“*”表示拒绝所有用户

③登录按钮的Click事件

if (sdr.Read()) //sdr代表SqlDataReader对象，表示验证通过

{

System.Web.Security.FormsAuthentication.SetAuthCookie(this.Txt_username.Text, false); Response.Redirect("admin/default.aspx");

}

④判断验证与否及获取验证后的用户信息

if (User.Identity.IsAuthenticated)

{

https://www.360docs.net/doc/011039487.html,;//用户名称

User.Identity.AuthenticationType;//验证类型

}

⑤分散与集中

Web.config文件分散到不同的目录中维护比较麻烦，可以集中在应用程序根目录Web.config中进行管理，方法是在configuration配置节下添加location配置，方法如下：

注：location配置也可以对页面，如下配置表示对login.aspx允许匿名登录：

2、添加用户

①使用CreatUserWizard服务器控件

使用该控件不需要编写代码就能够新建用户，注册后的用户信息保存在App_Data文件夹下的ASPNETDB.MDF数据库中（注册后需刷新文件夹），并且用户名和密码存储为加密后的散列形式，而且默认要求密码最少要7个字符，其中至少包含一个非数字和字母的字符（如@，#，$，%等），如果要改变默认设置，可以在Web.config文件中重新设置，代码如下：

type="System.Web.Security.SqlMembershipProvider,System.Web,Version=2.0.0.0,

Culture=neutral,PublicKeyToken=b03f5f7f11d50a3a"

connectionStringName="LocalSqlServer" //连接串

requiresQuestionAndAnswer="false" //问题与回答

requiresUniqueEmail="true" //Email

passwordFormat="Hashed" //加密，Clear不加密

minRequiredNonalphanumericCharacters="0" //不要求非数字和字母的字符

minRequiredPasswordLength="3" //最少允许3个字符

applicationName="/" /> //该属性

CreatUserWizard服务器控件常用的事件是ContinueButtonClick和CreatedUser事件。当用户成功创建后，单击第二个页面上的“继续”按钮，就会触发ContinueButtonClick事件，如注册后跳转到登录页面。当在数据库中成功创建一个用户时，就会触发CreatedUser事件，如果希望在用户注册时执行其他操作，就可以使用这个事件。

②编程添加用户

编程添加用户使用Membership的CreatUser方法，该方法有四种：

Membership.CreatUser(string sername , string password);

Membership.CreatUser(string sername , string password , string email);

Membership.CreatUser(string sername , string password , string email , string passwordQuestion ,

string passwordAnswer , Boolean isApproved , System.Web.Security.MembershipCreateStatus status );

Membership.CreatUser(string sername , string password , string email , string passwordQuestion , string passwordAnswer , Boolean isApproved , Object providerUserKey , System.Web.Security.MembershipCreateStatus status );

例：如下代码实现写入用户名、密码、电子邮件

Membership.CreateUser(TextBox1.Text, TextBox2.Text, TextBox3.Text);

默认的配置requiresQuestionAndAnswer为真，即要求必须有密码回答问题，在Web.config配置中设置为假上面的代码才能正确执行。用户信息保存位置同CreatUserWizard服务器控件。

③注册用户（不使用Membership类）

建立注册页面，编写注册按钮Click事件，可以使用纯代码编写，也可以结合SqlDataSource 控件来实现。

完全代码：需要建立SqlConnection对象，SqlCommand对象，如

string constr = "data source=.;initial catalog=mydatabase;uid=sa;pwd=123;integrated security=SSPI";//把连接字符串写入Web.config文件如何读取string constr

=System.Configuration.ConfigurationManager.ConnectionStrings["constr"].ConnectionString;

SqlConnection con = new SqlConnection(constr);

string cmdstr="inser into aa(xm,password,email) values(@xm,@password,@email)";

SqlCommand cmd = new SqlCommand(cmdstr, con);

cmd.Parameters.Add("@xm", SqlDbType.Char);

cmd.Parameters["@xm"].Value =

System.Web.Security.FormsAuthentication.HashPasswordForStoringInConfigFile(TextBox1.Text.Tri m(), "MD5");//对用户名加密

cmd.Parameters.Add("@password", SqlDbType.Char);

cmd.Parameters["@password"].Value =

System.Web.Security.FormsAuthentication.HashPasswordForStoringInConfigFile(TextBox2.Text.Tri m(), "MD5");//对密码加密

cmd.Parameters.Add("@email", SqlDbType.Char);

cmd.Parameters["@email"].Value = TextBox3.Text.Trim();

try

{

con.Open();//con.Open(CommandBehavior.CloseConnection); 使用结束后会自动关闭连接 cmd.ExecuteNonQuery();

}

catch (SqlException ex)

{

Response.Write(ex.Message);

}

finally

{

con.Close();

}

结合SqlDataSource控件：添加并配置SqlDataSource控件，然后编写注册按钮的Click 事件，代码如下：

SqlDataSource1.InsertParameters["xm"].DefaultValue =

System.Web.Security.FormsAuthentication.HashPasswordForStoringInConfigFile(TextBox1.Text.Tri m(), "MD5");

SqlDataSource1.InsertParameters["password"].DefaultValue =

System.Web.Security.FormsAuthentication.HashPasswordForStoringInConfigFile(TextBox2.Text.Tri m(), "MD5");

SqlDataSource1.Insert();

注：把连接字符串写入Web.config配置文件，如下：

对Web.config配置节中的连接字符串进行加密，方法如下：

加密命令：Aspnet_regiis –pe “connectionStrings”–app “/ks”//ks为应用程序虚拟目录解密命令：aspnet_regiis –pd “connectionStrings”–app “/ks”

同样也可以对其它需要加密的配置节进行加密

3、登录

①使用Login服务器控件

不用编写代码，自动实现验证，登录成功后跳转到由DestinationUrl属性指定的页面

②编程登录用户

编程添加用户使用Membership的ValidateUser方法，该方法使用如下：

Membership. ValidateUser(string sername , string password);

例：在登录按钮的Click事件中如下代码实现登录：

if (Membership.ValidateUser(TextBox1.Text, TextBox2.Text))

{

System.Web.Security.FormsAuthentication.RedirectFromLoginPage(TextBox1.Text, false); Response.Redirect("admin/default.aspx");

}

else

Response.Write("用户名密码不正确，请重新输入！");

③锁定输入错误密码的用户

https://www.360docs.net/doc/011039487.html,内置了用户尝试输入多个可能密码的防御措施，默认情况下最多只能能尝试给同一个用户名输入5次密码（10分钟内），5次尝试失败后账户就会被锁定，可以在Web.config 文件中修改相关的配置。

例：下面配置将窗口显示时间改为15分钟，尝试次数改为3次，如下：

type="System.Web.Security.SqlMembershipProvider"

connectionStringName="LocalSqlServer"

requiresQuestionAndAnswer="false"

requiresUniqueEmail="true"

passwordFormat="Hashed"

minRequiredNonalphanumericCharacters="0"

minRequiredPasswordLength="3"

applicationName="/"

maxInvalidPasswordAttempts="3" //尝试次数

passwordAttemptWindow="15"/> //时间

注：解锁代码如下：

MembershipUser user=Membership.GetUser(TextBox1.Text);

user.UnlockUser();

使用Membership类显示在线用户数代码如下：

Label1.Text=Membership.GetNumberOfUsersOnline.ToString();

默认情况下显示15分钟内登录的用户数，可以修改配置文件改变，代码如下：

//以分钟为单位

④不使用Membership登录

同注册一样，可以使用纯代码，也可以代码与SqlDataSource数据源控件结合使用。纯代码需要建立SqlConnection、SqlCommand、SqlDataReader对象，使作SqlDataSource数据源控需要修改DataSourceMode属性为DataReader。另外如果注册时加密了用户名和密码，这里登录时也需要以同样的方式对登录用户输入的用户名和密码加密。

4、处理密码

①修改密码

可以编写代码直接修改数据库，也可以通过ChangePassword控件，要求登录用户才能修改密码

②密码恢复PsswordRecovery控件

通过电子邮件给终端用户发送密码，需要建立一个SMTP服务器，在Web.config文件中配置该服务器，代码如下：

PsswordRecovery控件需要设置MailDefinition元素，该元素设置发送给终端用户的电子邮件信息，必须指定的是Form属性，该属性设置电子邮件地址。

自己写代码发送邮件，界面和代码如下：

if (TextBox1.Text != string.Empty && TextBox2.Text != string.Empty)

{

MailMessage mymail = new MailMessage(TextBox1.Text, TextBox2.Text.Trim(), TextBox5.Text, TextBox6.Text);

mymail.Priority = MailPriority.High;

string filepath = FileUpload1.PostedFile.FileName;

Attachment myatt = new Attachment(filepath);

mymail.Attachments.Add(myatt);

SmtpClient myclient = new SmtpClient("127.0.0.1", 25);

myclient.Send(mymail);

}