Asp.net MVC默認登錄類是否足夠？

Question

它們在公共場所的安全性方面是否足夠？或者所以我需要進行修改？

Answer 1

你問關於成員和角色提供者或骨架控制器的操作和視圖嗎？成員和角色提供商當然支持密碼的安全存儲，並且可以充分保護您的應用程序。我發現他們對我所做的事情有點矯枉過正，所以我選擇實施自己的事情。就控制器操作而言，它們只是骨架，您應該期望修改它們以適應您的身份驗證方案。有一件事你可能想要設置一些事情來傳輸密碼時需要安全的連接。如果您選擇之後重定向到非安全連接，則需要手動操作重定向url，因爲默認路由不支持（或者至少在MVC Beta中不支持）從安全變爲非安全協議。

底線是您仍然需要確保您正在安全地處理數據，無論您使用的是MVC還是WebForms。控制器的佈局和基本設置是一個合適的開始，但您需要確保它符合您的安全要求。

Answer 2

這真的取決於你正在做什麼樣的網站，但我可能不會按原樣部署AccountController。它是示例代碼，演示了使用MembershipProvider的機制。

例如，一些事情要考慮：

1. 您可能包括CAPTCHA與註冊
2. 默認模板實際上並不保護與[授權]屬性什麼。如果您需要登錄，您可能需要擁有需要授權的控制器和操作。

等等

始終以您自己的網站的安全責任。我會做一個威脅模型，並找出你的網站需要的安全程度。例如，某些站點需要使用兩個因子認證，例如RSA密鑰卡。這不包含在默認模板中。我認爲大多數網站不需要這個級別。 ;）要點是，這取決於你的具體需求。希望有所幫助！