Локализация проектов. Аутентификация пользователей

По умолчанию всем пользователям доступны все страницы приложения. Если нужно ограничить доступ пользователей к какой-нибудь странице, в Web.config вводится запись:

<location path="Admin.aspx">
    <system.web>
      <authorization>
        <allow roles="Admin" />
        <deny users="*" />
      </authorization>
    </system.web>
  </location>

Значение "?" обозначает анонимного пользователя, а "*" — всех пользователей:

<allow users="?" />

В элементах allow и deny пользователи и роли могут быть заданы перечислением:

<allow users="Alex, Dave" />

Элемент location определяет часть сайта, доступ к которой нужно ограничить. В данном случае это одна страница Admin.aspx. Первая часть авторизации разрешает доступ к ней пользователям в роли администратора Admin. Вторая запрещает доступ всем остальным пользователям.

Если элемент system.web находится в корневом узле файла, то вложенный в него узел authorization определяет настройки доступа ко всему сайту.

Когда неавторизованный пользователь пытается получить доступ к странице, открывается форма, определенная в атрибуте forms loginUrl. Если он введет имя и пароль пользователя, который имеет доступ к странице, то она откроется, иначе опять ему или ей будет показана форма логина.

Часто бывает нужно сконфигурировать с точки зрения безопасности систему навигации. Это значит, что меню не должно показывать те страницы, для просмотра которых пользователь не авторизован:

<siteMap defaultProvider="AspXmlSiteMapProvider" 
enabled="true">
      <providers>
        <clear/>
        <add name="AspXmlSiteMapProvider" 
type="System.Web.XmlSiteMapProvider, System.Web, 
Version=2.0.3600.0, Culture=neutral, 
PublicKeyToken=b03f5f7f11d50a3a"
          siteMapFile="web.sitemap" 
securityTrimmingEnabled="true"/>
      </providers>
    </siteMap>

Здесь атрибут securityTrimmingEnabled, установленный в true, заставляет провайдера карты сайта фильтровать узлы в зависимости от роли пользователя. Это значит, что в элементах навигации будут видны только доступные страницы.

Член User страницы позволяет получить доступ ко всей информации, касающейся текущего пользователя.

Метод IsInRole определяет, принадлежит ли пользователь к роли:

if (User.IsInRole("Admin"))
      Page.Title = "Hello, Administrator!";

Свойство Identity дает информацию об аутентификации пользователя:

if (User.Identity.IsAuthenticated)
//выполнить код, если пользователь легален

User.Identity.AuthenticationType показывает способ аутентификации, установленный в Web.config.

Можно ограничить доступ не только к страницам, но и к частям страниц.

Элементы управления группы Login

Мы уже создавали формы регистрации. Это было только упражнение, так как элементы управления этой группы могут брать на себя регистрацию и авторизацию пользователей, восстановления пароля и другие функции, взаимодействуя при этом с системой Membership и Roles. Группа Login находится в панели инструментов.

Элемент управления LoginName позволяет показать имя пользователя:

Заходите еще, <asp:LoginName ID="FCLoginName" Runat="server" />

Отображаемый текст можно форматировать с помощью FormatString:

<asp:LoginName ID="HelloLoginName" Runat="server" FormatString="Hello, {0}" />.</p>

LoginStatus — это умный элемент управления. Если пользователь не аутентифицирован, отображается гиперссылка Login на страницу входа на сайт. Если пользователь авторизован, это ImageButton с командой Logout. Если ее нажать, то пользователь выходит из системы. Текст ссылок можно менять в свойствах LoginText и LogoutText или использовать изображения:

<asp:LoginStatus ID="LoginStatus1" runat="server" 
LoginText="Вход" LogoutText="Выход" />
  <asp:LoginStatus ID="LoginStatus2" runat="server" 
LogoutAction="Redirect" LogoutPageUrl="~/Default.aspx" 
LoginImageUrl="~/Images/arrow_next.gif" 
LogoutImageUrl="Images/arrow_prev.gif" />

Нажатие на ссылку Logout в этом случае перенаправит пользователя на страницу Default.aspx.

Элемент управления LoginView состоит из двух шаблонов: AnonymousTemplate и LoggedInTemplate. Который из них используется для отображения, зависит от того, просматривает ли страницу анонимный пользователь или авторизованный. На странице default.aspx Starter Kit это единственный элемент на странице Registration.aspx:

<asp:loginview id="LoginArea" runat="server">
    <AnonymousTemplate>
        <asp:login id="Login1" runat="server">
            <layouttemplate>
                <div class="login">
                    <h4>Login to Site</h4>
  <asp:label runat="server" id="UserNameLabel" CssClass="label" 
associatedcontrolid="UserName">User Name</asp:label>
  <asp:textbox runat="server" id="UserName" cssclass="textbox" 
accesskey="u" />
  <asp:requiredfieldvalidator runat="server" id="UserNameRequired" 
controltovalidate="UserName" validationgroup="Login1" errormes-
sage="User Name is required." tooltip="User Name is required." 
>*</asp:requiredfieldvalidator>
  <asp:label runat="server" id="PasswordLabel" CssClass="label" 
associatedcontrolid="Password">Password</asp:label>
  <asp:textbox runat="server" id="Password" textmode="Password" 
cssclass="textbox" accesskey="p" />
  <asp:requiredfieldvalidator runat="server" id="PasswordRequired"
controltovalidate="Password" validationgroup="Login1" 
tooltip="Password is required." >*</asp:requiredfieldvalidator>
  <div><asp:checkbox runat="server" id="RememberMe" text="Remember 
me next time"/></div>
  <asp:imagebutton runat="server" id="LoginButton" 
CommandName="Login" AlternateText="login" skinid="login" 
CssClass="button"/> or
  <a href="register.aspx" class="button"><asp:image id="Image1" 
runat="server" AlternateText="create a new account" skinid="cre-
ate"/></a>
  <p><asp:literal runat="server" id="FailureText" enableview-
state="False"></asp:literal></p>
                </div>
            </layouttemplate>
        </asp:login>
    </anonymoustemplate>
    <LoggedInTemplate>
       <h4><asp:loginname id="LoginName1" runat="server" format-
string="Welcome {0}!" /></h4>
    </LoggedInTemplate>
    </asp:loginview>

Анонимному пользователю предоставляется возможность зайти или зарегистрироваться, а авторизованный видит приветствие со своим именем.

Кроме того, с помощью <RoleGroups> можно создавать шаблоны, которые будут показаны пользователям с определенными ролями:

<RoleGroups>
        </asp:RoleGroup>
        <asp:RoleGroup Roles="Moderator">
            <ContentTemplate>
Вы можете удалять чужие сообщения.
            </ContentTemplate>
        </asp:RoleGroup>
        <asp:RoleGroup Roles="ClubMember">
            <ContentTemplate>
Вы можете заходить в клубный форум.
            </ContentTemplate>
    </RoleGroups>

Шаблоны групп просматриваются по порядку, и показывается тот из них, что найден первым из групп, в которые входит пользователь. Например, если он принадлежит к группам Moderator и ClubMember, будет показан шаблон Moderator. Роли можно перечислять через запятую, тогда шаблон применим ко всем указанным группам:

<asp:RoleGroup Roles="Moderator, Administrator">

Остальные элементы управления этой группы — формы и мастера — Login, PasswordRecovery, ChangePassword.

CreateUserWizard позволяет создавать пользователей, используя службу Membership. Естественно, в нем происходит валидация введенных данных. Например, длина пароля должна быть не меньше 7 знаков и в нем должен присутствовать хотя бы один символ — не буква и не цифра. Обязательно заполнение контрольного вопроса и ответа, по которым можно будет восстановить пароль, если он забыт, или изменить пароль:

ChangeUser

Персонализация

Многие сайты собирают информацию о пользователях, чтобы подстроить показ информации под их личные вкусы. Часто для этого используют файлы-cookie, объекты приложения и сессии.

В ASP .NET 2.0 появились новые удобные способы хранить пользовательскую информацию. Это функция персонализации. Механизм персонализации позволяет установить прямую связь между пользователем и всеми данными, относящимися к нему. При этом его настройки хранятся не в файлах-cookie на компьютере пользователя, которые он может стереть, а на сервере. Их можно поместить в любое хранилище данных.

Модель персонализации проста и расширяема.

В файле web.config содержится информация о том, какие данные о пользователе необходимо хранить. Она записывается в секции <configuration><system.web> перед секцией authentication:

<profile>
      <properties>
        <add name="FirstName" />
        <add name="LastName" />
        <add name="LastVisited" />
        <add name="Age" />
        <add name="Member" />
      </properties>
    </profile>

Профиль персонализации может хранить данные об авторизированном пользователе, но может обслуживать и анонимного пользователя. По умолчанию анонимная персонализация выключена. Чтобы ее включить, нужно в файле web.config создать запись

<anonymousIdentification enabled="true" />

(также в секции <system.web> ).

Когда анонимная персонализация включена, ASP .NET хранит уникальный идентификатор для каждого анонимного пользователя. Он посылается вместе с любым запросом. Идентификатор хранится в файле-cookie пользователя, а дополнительные данные, которые удалось собрать о его предпочтениях, — на сервере. По умолчанию имя файла-cookie — .ASPXANONYMOUS. Его можно поменять с помощью атрибута cookieName элемента anonymousIdentification:

<anonymousIdentification enabled="true" cookieName=".intuit"/>

Время хранения файла-cookie в минутах определяется атрибутом cookieTimeout.

По умолчанию оно равно 100 000 минутам (69,4 дня).

От использования cookie можно отказаться, например, написав

cookieless="UseUri"

В таком случае идентификатор передается через строку URL:

cookieless="AutoDetect"

В этом случае определяются настройки пользователя. Если возможность хранить cookie выключена, используется строка URL.

Анонимный идентификатор по своей сути представляет собой GUID (32-байтное число, алгоритм генерации которого гарантирует глобальную уникальность). Свойство AnonymousId объекта Request страницы позволяет получить к нему доступ.

Для того чтобы определить, какие данные можно хранить для анонимного пользователя, в элемент add name определяют атрибут allowAnonymous:

<add name="LastVisited" allowAnonymous="true"/>

Заключение

Возможности глобализации, авторизации и профили пользователей, несомненно, облегчат жизнь программистам, создающим web-сайты. Они решают важную задачу индивидуальной работы для каждого пользователя. Все то, что раньше приходилось делать вручную, теперь реализовано и отлажено самими создателями ASP .NET.