ASP.NET beveiligingsoverzicht

Statische bestandstypen beveiligen met formulierverificatie

Standaard worden met formulierverificatie alleen ASPX-pagina's en andere .NET-extensies beveiligd. U kunt formulierverificatie configureren om andere statische extensies te beveiligen, zoals .jpg, .gif, .html, .pdf, enzovoort. Hiervoor wijst u deze extensies als volgt toe aan aspnet_isapi.dll met behulp van IIS-beheer:

1. Open IIS-beheer. Klik hiervoor op Start, klik op Programmabestanden, wijs Systeembeheer aan en klik vervolgens op Internet Information Services Manager.

2. Zoek de virtuele map van uw toepassing en klik er met de rechtermuisknop op (uw toepassing moet zijn ingeschakeld voor formulierverificatie).

3. Klik op Eigenschappen.

4. Klik op Configuratie.

5. Klik op het tabblad Toewijzingen op
   Toevoegen.

6. Klik in het vak Uitvoerbaar op aspnet_isapi.dll. Deze bevindt zich in de map %windows%\Microsoft.NET\Framework\FrameworkVersion.

7. Typ in het vak Extensie de extensie (bijvoorbeeld .jpg).

8. Geef ten minste 'GET'-werkwoord op.

9. Schakel het selectievakje Controleren of bestand bestaatuit.

10. Klik op OK voor de rest van de dialoogvensters.

Klassieke ASP-pagina's beveiligen met formulierverificatie

Het beveiligen van klassieke ASP-pagina's met formulierverificatie wordt niet ondersteund omdat ASP en ASP.NET verschillende handlers gebruiken. U kunt het echter wel laten werken met behulp van COM-Interop en webservices.


Het volgende voorbeeld zou moeten werken. Dit zou vrij eenvoudig zijn geweest met behulp van eenvoudige COM Interop om de formsAutentication-hulpprogrammafuncties aan te roepen. Voor de functies is echter een HttpContext vereist, die alleen beschikbaar is in een ASP.NET-toepassing.

Als tijdelijke oplossing maakt u een ASP.NET-webservice waarmee de formulierverificatietickets worden gevalideerd.

1. Gebruik het voorbeeld van ASP.NET formulierverificatie uit het volgende artikel om te beginnen:

   301240 Verificatie op basis van formulieren implementeren in uw ASP.NET-toepassing met behulp van C#.NET
    

2. Maak een klasse die handmatig een ticket valideert dat het wordt doorgegeven, retourneert de cookienaam van de formulierverificatie die in gebruik is en retourneert de aanmeldings-URL (allemaal zodat de code zelfstandig kan zijn met minimale beheer vereist):

   ////////////// start sample code //////////////
   
   //this method validates a ticket passed from ASP
   public bool IsAuthenticated(string rawCookieData)
   {
   if(rawCookieData.Trim().Length <= 0)
   return false;
   
   FormsAuthenticationTicket decryptedTicket;
   
   try
   {
   decryptedTicket = FormsAuthentication.Decrypt(rawCookieData);
   }
   catch
   {
   //log reason for failure or whatever here if you like
   return false;
   }
   
   if (decryptedTicket.Expired)
   return false;
   
   // Optionally you could change the method signature to return
   // the decrypted ticket and then, you can call RenewTicketIfOld
   // and then implement code on the ASP side to update the cookie
   // with the newed ticket.  This would only be necessary if the 
   // ticket has a timeout set (this resets the timeout)
   // see the MSDN docs on FormsAuthentication.RenewTicketIfOld.
   
   return true;
   
   }
   
   // method merely returns the name of the cookie being used
   public string GetCookieName()
   {
   return FormsAuthentication.FormsCookieName.ToString();
   }
   
   // method returns the login url used in the redirect
   // this is trickier since there is no FormsAuth utility function available to 
   return this so we have to manually look at web.config
   private string GetLoginURL() 
   {
   string sConfigPath = Server.MapPath(Request.ApplicationPath) + "\\web.config";
   
   XmlDocument doc = new XmlDocument();
   doc.Load(sConfigPath);
   
   try
   {
   XmlNode xmlNodeForms = 
   doc.SelectSingleNode("configuration/system.web/authentication/forms");
   return xmlNodeForms.Attributes.GetNamedItem("loginUrl").InnerText;
   }
   catch
   {
   throw new System.Exception("error in GetLoginURL()");
   }
   
   }
   
   ////////////// end sample //////////////
   

3. Maak een andere .NET-wrapperklasse die deze webservice aanroept (of maak en compileer een webproxy-klasse).

4. Gebruik Regasm.exe en Gacutil.exe om deze wrapper-klasse aan te roepen vanuit ASP via ComInterop.

5. De ASP-code ziet er ongeveer als volgt uit:

   Set oAuthClass = Server.CreateObject("ASPNETFormsAuth.WrapperClass")
   If Not oAuthClass.IsAuthenticated(Request.Cookies(oAuthClass.GetCookieName)) Then
        Response.Redirect("http://servername/ASPApplicationRoot/" & 
   oAuthClass.GetLoginURL & "?RetrunURL=" & Requset.ServerVariables("URL"))
   End If

Zie de volgende bronnen voor meer informatie over formulierverificatie:

Formulierverificatieprovider

Verificatie op basis van formulieren implementeren in een ASP.NET-toepassing met behulp van C#.NET

Terug naar boven