Рекомендации по входу пользователей в ASP.NET

Я не знаю о лучших практиках, но я могу рассказать вам, что я делаю. Это не высокотехнологичная безопасность, но она делает свою работу.

Я использую аутентификацию с помощью форм. Я получаю пароль, защищенный ssl, через текстовое поле на странице входа. Я беру этот пароль и хеширую его. (Хеширование похоже на одностороннее шифрование, вы можете получить хеш-код, который нельзя преобразовать обратно в пароль). Я беру этот хэш и сравниваю его с хешем пользователей в базе данных. Если хэш совпадает, я использую asp.nets, встроенный в обработку аутентификации, которая обрабатывает файлы cookie для меня.

В классе FormsAuthentication есть доступные для этого методы, такие как SetAuthCookie и RedirectFromLogin. они установят куки и пометят их как аутентифицированные. Используемый asp.net файл cookie зашифрован. Я не могу говорить о его уровне безопасности, но он довольно часто используется.

В моем классе я проверяю пароль и использую formauth для обработки остальных:

if(SecurityHelper.LoginUser(txtUsername.Text, txtPassword.Text))
{    
    FormsAuthentication.RedirectFromLoginPage(txtUsername.Text, true);
}

Вы можете реализовать своего собственного поставщика членства, используя инфраструктуру ASP.NET, см. документы MSDN для класса MemberShipProvider.

Встроенный провайдер работает хорошо. Это действительно работает с MySQL, хотя я обнаружил, что это не так просто, как версия MS SQL. Если вы можете использовать, то сделайте, это сэкономит вам часы работы.

Если вам нужно использовать другое хранилище данных, я согласен с axel_c, если бы я собирался создать свое собственное, я бы написал поставщика членства в соответствии со спецификацией MS. Это сделает код более удобным для всех разработчиков, следующих за вами.

Соление — это практика добавления уникальной строки символов к тому, что хэшируется. Предположим, mySalt = abc123 и мой пароль passwd. В PHP я бы использовал hashResult = md5(mySalt + password).

Предположим, что строка перехвачена. Вы пытаетесь сопоставить строку, но в итоге получаете тарабарщину, потому что перед шифрованием пароль был засолен. Просто помните, что все, что вы используете для соли, должно быть непрерывным на протяжении всего приложения. Если вы посолите пароль перед сохранением, вы должны сравнить хешированный посоленный пароль с БД.

Вы можете использовать встроенный поставщик членства в SQL - и вы можете настроить выделенную базу данных "пользовательского доступа", если вам не нужны таблицы членства .Net в вашей базе данных - просто укажите это в строке подключения.

Преимущество модели провайдера находится на уровне приложения, код не зависит от того, какое конкретно хранилище аутентификации вы использовали.

На сайте asp.net есть хорошая серия руководств:

текст ссылки

Недостатком поставщика членства от Microsoft является то, что вы не можете использовать его в подходе, управляемом доменом. Если вы хотите, вы можете создать свой собственный пользовательский объект с вашим собственным хэшем пароля и по-прежнему использовать файлы cookie для проверки подлинности, предоставленные Microsoft. Использование этих аутентификационных файлов cookie означает, что вам не нужно самостоятельно управлять идентификаторами сеансов.

public void SignIn(User user)
        {
            FormsAuthentication.SignOut();
           var ticket = new FormsAuthenticationTicket(1, user.UserName, DateTime.Now.AddMinutes(30), expires, alse, null);
            var encryptedTicket = FormsAuthentication.Encrypt(ticket);
            var authCookie = new HttpCookie(FormsAuthentication.FormsCookieName, encryptedTicket)
            {
                Expires = ticket.Expiration
            };

            httpContextProvider.GetCurrentHttpContext().Response.Cookies.Add(authCookie);
        }

    public void SignOut()
    {
        FormsAuthentication.SignOut();
    }

Я использую свой собственный пользовательский объект и таблицы. Я храню свои хешированные пароли в пользовательской таблице с уникальной солью для каждого пользователя. Это безопасно, легко реализуемо и впишется в ваш дизайн. Ваша таблица базы данных не будет загрязнена дерьмом поставщика членства Microsoft.

Я бы избегал всей проблемы и использовал openid. Доступна библиотека, которую вы можете использовать напрямую. Вот ссылка на сообщение в блоге о том, как это реализовать