Form di login autenticazione Asp.net loop

Question

Come si risolve il problema del ciclo di accesso infinito quando si utilizzano sessioni senza cookie e non è possibile modificare il nome di login.aspx in un httphandler?

vale a dire quando un utente con privilegi di amministratore preme il pulsante di logout e l'url ritorno ad una pagina riservata è passato a Login.aspx poi un altro utente senza privilegi di amministratore tenta di eseguire il login ottengono reindirizzato alla pagina di login.

Mi sono imbattuto in questo solution ma non riesco a cambiare il nome di login.aspx in un gestore http e la funzione di autenticazione non sembra funzionare nella pagina di aspx con auth senza cookie perché il ticket di autenticazione moduli sembra essere rimosso dall'URL quando viene reindirizzato alla pagina di accesso.

EDIT:

Poiché questa applicazione è già in produzione non può alterare il flusso pagina del/logout processo di login/timeout o rinominare la pagina di login.

Answer 1

Verificare se l'utente è autorizzato ad accedere alla pagina in returnUrl, dopo aver effettuato l'accesso nella pagina login.aspx. Si potrebbe utilizzare questo metodo del UrlAuthorizationModule (o uno personalizzato se funziona meglio per voi):

System.Web.Security.UrlAuthorizationModule.CheckUrlAccessForPrincipal(

    returnUrl, 
    userPrincipal, 
    GET"); 

Se l'utente non è autorizzato, solo reindirizzare a una pagina che l'utente può accedere.

Per ottenere l'utente principale:

var roles = System.Web.Security.Roles.GetRolesForUser(username); 

var principal = new System.Security.Principal.GenericPrincipal(

    new System.Security.Principal.GenericIdentity(username), 

    roles 

); 

Answer 2

È possibile modificare il flusso della pagina?

Ciò che intendo è, piuttosto che reindirizzare nuovamente alla pagina login.aspx quando un utente non ha accesso a una risorsa, reindirizzandoli a una pagina di informazioni.

Questa pagina spiega le ragioni del redirect, e dà loro opzioni come:

1. Click here to login as another user. 
2. Click here to request access to the page. 
3. Click here to login again, if your session has expired. 

Ciò rimuovere il riferimento circolare, e quindi il problema.

Answer 3

Alcune opzioni ...

One, reindirizzare torna manualmente per Login.aspx quando un utente è disconnesso, quindi non c'è ReturnURL. Avere un meta-refresh sulle pagine che corrisponde al timeout della sessione in modo che l'utente non faccia clic sulle risorse a cui improvvisamente non è possibile accedere.

Due, registrare sempre qualcuno nella pagina di accesso di Login.aspx. Ehi, perché no? Posso pensare ad alcune ragioni, ma forse non si applicano alla tua situazione.

Tre, ignorare ReturnURL. Non devi chiamare RedirectFromLoginPage! Reindirizza l'utente a una pagina di destinazione predefinita all'accesso.

Answer 4

Abbiamo avuto un problema simile, e mi è stato risolto nel seguente modo:

If "LogOut".Equals(e.CommandName) Then 
    FormsAuthentication.SignOut() 
    Response.Redirect("~/Login.aspx") 
End If 

E poi in Login.aspx cambiamo il PostBackUrl per Login.aspx se contiene un parametro ReturnUrl che invia all'utente indietro su Login.aspx.

Answer 5

Che dire l'aggiunta di un modulo HTTP che controlla se l'Request.UrlReferrer è la pagina di login e in tal caso i controlli se sono autorizzati ad accedere al Request.Url e se non li reindirizza a "Non sei autorizzato a visualizzare questa pagina". pagina.

Answer 6

Sebbene si affermi che non è possibile modificare il nome di login.aspx in un gestore HTTP, si è tentato di aggiungere un reindirizzamento HTTP 301 in modo tale che ogni volta che viene richiesto login.aspx, il server reindirizza l'utente a un gestore HTTP, ad es. login.ashx?