Asp.net安全：IIdentity.IsAuthenticated默認實現

Question

我正在編寫自己的自定義Identity實現IIdentity類。我不需要更改默認方法IsAuthenticated，但現在我想知道默認的IIdentity是如何確定它是否應該返回true或false？

我想在我正在使用的FormsAuthenticationTicket中找到答案，但不確定是否正確。

由於提前，

Pickels

Answer 1

中有一個ASP.Net處理程序的上下文中沒有 '默認IIdentity'。

有一個GenericIdentity是傳遞給GenericPrincipal這是一個ASP.Net處理器默認User，它的行爲是，如果與非空的用戶名實例化則認證。

例如

public virtual bool IsAuthenticated 
{ 
    get 
    { 
     return !this.m_name.Equals(""); 
    } 
} 

這就是說，IsAuthenticated的確定完全是任意的和實施IIdentity類是用於實現該邏輯負責。

通常情況下，是沒有用例實例化一個沒有認證委託人/身份，因爲這是由asp.net運行時自動完成的，因此，用「愚蠢」 IsAuthenticated返回true應該在適當的執行您的自定義IIdentity在大多數情況下。

此外，雖然全面實施IPrincipal和IIdentity是微不足道的，你也可以簡單地從GenericPrincipal和GenericIdentity得到降低的代碼，你需要保持量。

在FormsAuthentication的情況下，你只能有一票，如果用戶進行身份驗證和User將是RolePrincipal的實例與FormsIdentity類型的身份和它的實施IsAuthenticated是超級複雜;-) ...

public bool IsAuthenticated 
{ 
    get 
    { 
     return true; 
    } 
} 

希望可以幫助清理一下。

Answer 2

我使用自定義UserPrinciple將當前用戶的更多信息嵌入到我的頁面中，而不是標準GenericPrinciple允許的內容。我沒有發現需要實現我自己的IIdentity，因爲您可以輕鬆利用內建的FormsIdentity（與我的時尚類似）（我不確定這是否與Auth for .NET的標準實踐不同，它在實踐中對我自己很有用雖然）。我確實創建了一個自定義的GuestIdentity，它返回一個硬編碼的IsAuthenticated = false或許這可以被替換爲GenericPrinciple如果它是抽象的或不抽象的，我不確定。

public class UserPrincipal : IPrincipal 
{    

    private readonly IIdentity _identity; 

    public UserPrincipal() 
     { 
      _identity = new GuestIdentity(); 

      var guest = //my custom object 
      User = guest; 
     }   
    public UserPrincipal(HttpContext context) 
    { 
     var ident = context.User.Identity as FormsIdentity; 
     string msg1 = "Context.User.Identity is null for authenticated user."; 
     if (ident == null) throw new ApplicationException(msg1); 

     _identity = ident; 
     string msg2 = "Forms Identity Ticket is null"; 
     if (ident.Ticket == null) throw new AccessViolationException(msg2); 

     var userData = ident.Ticket.UserData; 

     ... 

     User = jsonSerializer.Deserialize<User>(userJson); 
    }  
    #region IPrincipal Members 
    public bool IsInRole(string role) 
    { 
     return User.Roles.FirstOrDefault(x => x.RoleName == role) != null; 
    } 

    public IIdentity Identity 
    { 
     get { return _identity; } 
    } 
    #endregion 
} 

隨機不談，你可以緩存在窗體身份驗證票數據，如擴展的UserData，如果按照這種想法，雖然確保您有邏輯的地方，因爲它是存儲在客戶端可以正確過期失效的數據電腦。