问题1 - 我想让用户只在没有电子邮件和生成密码的情况下重置密码.用户通过自定义表单对自己的内部数据库进行验证.然后,我想提示他们输入用户名和安全性q&a.我不知道如何做安全QA所以我决定自定义密码恢复控制.我不希望它发送带有新密码的电子邮件.相反,如果他们获得了用户名和问题,我想将它们发送到密码重置页面.

有没有办法向他们询问安全问题,并通过编写自定义代码或使用预构建组件进行比较.此外,如何重置密码后如何设置密码？

问题2-我正在处理'忘记用户名'.它将首先验证我们的数据库.根据他们输入的内容,我将能够匹配并在表单身份验证数据库中找到用户名和用户ID.我想问他们安全问题,但不知道如何根据他们输入的内容创建哈希来比较用户的aspnet数据库中的内容.有没有办法做到这一点？

谢谢!!!

我正在实施DotNetOpenAuth(OpenID)和Forms Authentication作为我正在构建的网站的身份验证机制.但是,我对我提出的解决方案的部分内容并不满意,尽管我应该和你们一起检查它是如何完成的.

我已将表单身份验证设置loginUrl为login.aspx.这是登录页面背后的代码:

public partial class Login : DataAccessPage {
    protected void Page_Load(object sender, EventArgs e) {
        if (Request.QueryString["dnoa.receiver"] != "openId") {
            openId.ReturnToUrl = Request.Url.ToString();
            openId.LogOn();
        }
    }

    protected void openId_LoggedIn(object sender, DotNetOpenAuth.OpenId.RelyingParty.OpenIdEventArgs e) {
        var fetch = e.Response.GetExtension();

        if (fetch != null) {
            string eMail = fetch.GetAttributeValue(WellKnownAttributes.Contact.Email);
            string name = fetch.GetAttributeValue(WellKnownAttributes.Name.FullName);

            var usr = db.Users.SingleOrDefault(u => u.EMailAddress == eMail);

            if (usr != null) {
                // update the name in db if it has been changed …

ASP.NET的会话状态cookie和表单身份验证cookie是两个单独的cookie有什么好的理由吗？如果我想把它们"捆绑"在一起怎么办？有可能以优雅的方式吗？

现在,我坚持使用以下解决方案,这有效,但仍然很难看:

[Authorize]
public ActionResult SomeAction(SomeModel model)
{
    // The following four lines must be included in *every* controller action
    // that requires the user to be authenticated, defeating the purpose of
    // having the Authorize attribute.
    if (SomeStaticClass.WasSessionStateLost/*?*/) {
        FormsAuthentication.SignOut();
        return RedirectToAction("Login", "Account");
    }

    // ...
}

@ RPM1984:这是发生的事情:

[HttpPost]
public ActionResult Login(LoginModel loginModel)
{
    if (/* user ok */)
    {
        // ...
        Session["UserID"] = loginModel.UserID;
        Session["Password"] = loginModel.Password;
        // ...
    }
    else
    {
        return View();
    }
} …

我开始学习ASP.NET Forms身份验证,我正在寻找一篇帮助我入门的好文章.

我之前听说ASP.NET Forms Authentication使用了一堆数据库表aspnet_,但是我发现的任何示例都没有显示这一点.

比如我认为这是aspnet_users一张桌子？

我怎样才能生成这些表,这就是我应该做的事情？

我发现的任何教程都告诉我有关将authentication标记添加到web.config中的信息.

设想

我开发了一个将托管在 Windows Azure 中的 MVC 应用程序。在开发过程中，我针对本地数据库和本地用户成员资格服务进行测试。在生产中，应用程序连接 SQL Azure 数据库和云托管的用户会员服务。

有时，我会使用仅存在于我的本地计算机上的用户帐户登录到该网站的本地版本。如果我忘记注销但将机器退出测试模式，事情就会开始出现问题。

MembershipUser user = Membership.GetUser();
if(user == null) {
    FormsAuthentication.SignOut();
}