Formularz logowania Asp.net do uwierzytelniania formularzy

Question

Jak rozwiązać problem z nieskończoną pętlą logowania podczas korzystania z sesji cookieless i nie można zmienić nazwy login.aspx na httphandler?

tj. Gdy użytkownik z uprawnieniami administratora natrafi na przycisk wylogowania, a URL powrotu do strony z ograniczeniami zostanie przekazany do login.aspx, wówczas inny użytkownik bez uprawnień administratora spróbuje się zalogować, a następnie zostanie przekierowany z powrotem na stronę logowania.

Natknąłem się na to solution, ale nie mogę zmienić nazwy login.aspx na program obsługi http, a funkcja uwierzytelniana nie działa na stronie aspx z autoodpowiechem cookie, ponieważ wydaje się, że formularz autoryzacji formularzy jest usunięty z adresu URL po przekierowaniu z powrotem do strony logowania.

EDIT:

Ponieważ ta aplikacja jest już w produkcji nie mogę zmieniać przepływ stronę z/wylogowania/procesu limitu czasu logowania lub zmień stronę logowania.

Answer 1

Sprawdź, czy użytkownik jest uprawniony do dostępu do strony w witrynie returnUrl, po zalogowaniu się na stronie login.aspx. Można użyć tej metody z UrlAuthorizationModule (lub zwyczaj jeden czy działa najlepiej dla Ciebie):

System.Web.Security.UrlAuthorizationModule.CheckUrlAccessForPrincipal(

    returnUrl, 
    userPrincipal, 
    GET"); 

Jeśli użytkownik nie jest uprawniony, po prostu przekierować do strony, na której użytkownik może uzyskać dostęp.

Aby uzyskać Principal użytkownika:

var roles = System.Web.Security.Roles.GetRolesForUser(username); 

var principal = new System.Security.Principal.GenericPrincipal(

    new System.Security.Principal.GenericIdentity(username), 

    roles 

); 

Answer 2

Czy możesz zmienić przepływ strony?

Mam na myśli raczej przekierowanie z powrotem na stronę login.aspx, gdy użytkownik nie ma dostępu do zasobu, przekieruj go na stronę informacyjną.

Ta strona wyjaśnia przyczyny przekierowania, i daje im opcje, takie jak:

1. Click here to login as another user. 
2. Click here to request access to the page. 
3. Click here to login again, if your session has expired. 

byłoby to usunięcie odwołanie cykliczne, a tym samym problemem.

Answer 3

Kilka opcji ...

One, przekierowanie ręcznie z powrotem do Login.aspx gdy użytkownik jest wylogowany, więc nie ma ReturnURL. Mieć metaodświeżanie na stronach, które pasuje do limitu czasu sesji, aby użytkownik nie kliknął zasobów, do których nagle nie może się dostać.

Po drugie, zawsze loguj kogoś w Page_Load z Login.aspx. Hej, czemu nie? Mogę wymyślić jakieś powody, ale może nie odnoszą się one do twojej sytuacji.

Trzy, zignoruj ​​ReturnURL. Nie musisz wywoływać strony RedirectFromLoginPage! Przekieruj użytkownika na domyślną stronę docelową podczas logowania.

Answer 4

Mieliśmy podobny problem, i naprawiłem to w następujący sposób:

If "LogOut".Equals(e.CommandName) Then 
    FormsAuthentication.SignOut() 
    Response.Redirect("~/Login.aspx") 
End If 

a następnie w Login.aspx zmieniamy PostBackUrl do Login.aspx jeśli zawiera parametr ReturnURL który wysyła użytkownikowi powrót do Login.aspx.

Answer 5

Co o dodanie modułu HTTP, który sprawdza, czy Request.UrlReferrer jest strona logowania, a jeśli tak sprawdza, czy są one upoważnione do dostępu do Request.Url i jeśli nie przekierowuje ich do "Nie masz uprawnień do przeglądania tej strony". strona.

Answer 6

Mimo że nie można zmienić nazwy pliku login.aspx na procedurę obsługi HTTP, czy próbowałeś dodać przekierowanie HTTP 301, aby za każdym razem, gdy zażądano pliku login.aspx, serwer przekierowywał użytkownika do procedury obsługi HTTP, np. login.ashx?