欧美性猛交XXXX免费看蜜桃,成人网18免费韩国,亚洲国产成人精品区综合,欧美日韩一区二区三区高清不卡,亚洲综合一区二区精品久久

5. 不同域之眾的兩個(gè)應用之間的SSO

　　至此為止我們成功地創(chuàng )建了共享的驗證Cookie，但如果Foo和Bar位于不同的域——http://foo.com和http://bar.com——中呢？它們不可能共享Cookie，也不能彼此創(chuàng )建第二Cookie。這種情況下，每個(gè)站點(diǎn)需要創(chuàng )建自己的Cookies，并調用其他站點(diǎn)來(lái)驗證用戶(hù)是否已經(jīng)在別處登錄了。完成這一工作的一種方法就是通過(guò)一些列的重定向。

　　為了實(shí)現這一目的，我們分別在兩個(gè)Web站點(diǎn)中都創(chuàng )建一個(gè)特殊的頁(yè)面（我們稱(chēng)之為sso.aspx）。這個(gè)頁(yè)面的目的就是檢查其域中是否存在Cookie，并返回登錄的用戶(hù)名，這樣其他應用可以在對應的域中創(chuàng )建類(lèi)似的Cookie。下面是來(lái)自Bar.com的sso.aspx：

<%

@ Page Language="C#" %> 

<script language="C#" runat="server">

 

void Page_Load() 

{ 

    // this is our caller, we will need to redirect back to it eventually 

    UriBuilder uri = new UriBuilder(Request.UrlReferrer); 

    HttpCookie c = HttpContext.Current.Request.Cookies[".BarAuth"]; 

    if (c != null && c.HasKeys) // the cookie exists! 

    

{ 

        try 

        

{ 

            string cookie = HttpContext.Current.Server.UrlDecode(c.Value); 

            FormsAuthenticationTicket fat = FormsAuthentication.Decrypt(cookie);         

            uri.Query = uri.Query + "&ssoauth=" + fat.Name; // add logged-in user name to the query 

        } 

        catch 

        

{ 

        } 

    } 

    Response.Redirect(uri.ToString()); // redirect back to the caller 

} 

</script> 

　　這個(gè)頁(yè)面總是會(huì )重定向回調用方。如果Bar.com中存在驗證Cookie，會(huì )解密用戶(hù)名并通過(guò)查詢(xún)字符串中的ssoauth參數返回。

　　在另外一端（Foo.com），我們需要像http請求處理流水線(xiàn)中插入一些代碼?？梢栽?/span>Application_BeginRequest事件中或者在一個(gè)自定義的HttpHandler或HttpModule中。其用意在于在所有的頁(yè)面請求的盡可能早的地方檢驗驗證Cookie是否存在：

1) 如果Foo.com中存在驗證Cookie，繼續處理請求。此時(shí)用戶(hù)已登錄Foo.com
2) 如果驗證Cookie不存在，重定向到Bar.com/sso.aspx
3) 如果當前請求從Bar.com/sso.aspx重定向回來(lái)，分析ssoauth參數并在必要時(shí)創(chuàng )建驗證Cookie。

　　這看起來(lái)相當簡(jiǎn)單，但要注意無(wú)限循環(huán)：

// see if the user is logged in 

HttpCookie c = HttpContext.Current.Request.Cookies[".FooAuth"]; 

if (c != null && c.HasKeys) // the cookie exists! 

{ 

    try 

    

{ 

        string cookie = HttpContext.Current.Server.UrlDecode(c.Value); 

        FormsAuthenticationTicket fat = FormsAuthentication.Decrypt(cookie); 

        return; // cookie decrypts successfully, continue processing the page 

    } 

    catch 

    

{ 

    } 

} 

// the authentication cookie doesn‘t exist - ask Bar.com if the user is logged in there 

UriBuilder uri = new UriBuilder(Request.UrlReferrer); 

if (uri.Host != "bar.com" || uri.Path != "/sso.aspx") // prevent infinite loop 

{ 

    Response.Redirect(http://bar.com/sso.aspx); 

} 

else 

{ 

    // we are here because the request we are processing is actually a response from bar.com 

    if (Request.QueryString["ssoauth"] == null) 

    

{ 

        // Bar.com also didn‘t have the authentication cookie 

        return; // continue normally, this user is not logged-in 

    } else 

    

{ 

        // user is logged in to Bar.com and we got his name! 

        string userName = (string)Request.QueryString["ssoauth"]; 

        // let‘s create a cookie with the same name 

        FormsAuthenticationTicket fat = new FormsAuthenticationTicket(1, userName, DateTime.Now, DateTime.Now.AddYears(1), true, ""); 

        HttpCookie cookie = new HttpCookie(".FooAuth"); 

        cookie.Value = FormsAuthentication.Encrypt(fat); 

        cookie.Expires = fat.Expiration; 

        HttpContext.Current.Response.Cookies.Add(cookie); 

    } 

} 

　　兩個(gè)站點(diǎn)都同樣需要這段代碼，但要在每個(gè)站點(diǎn)中使用正確的Cookie名字（.FooAuth vs. .BarAuth）。由于實(shí)際上并沒(méi)有共享Cookie，所以應用程序可以具有不同的<machineKey>元素。無(wú)需同步加密和驗證密鑰。

　　很多人可能比較擔心在查詢(xún)字符串中傳遞用戶(hù)名所帶來(lái)的安全隱患。很多方法可以對其進(jìn)行保護。首先，要檢查引用方，不接受來(lái)自任何源的ssoauth參數，但除了bar.com/sso.asp（或foo.com/sso.aspx）。其次，可以很容易地使用共享密鑰對用戶(hù)名進(jìn)行加密。如果Foo和Bar使用了不同的驗證機制，也可以用類(lèi)似的方式傳遞用戶(hù)的附加信息（例如email地址）。

6. 混合模式驗證（Forms和Windows）中的SSO

　　到現在為止，我們一直在處理Forms驗證的情況。但如果我們希望對于Internet用戶(hù)首先采用Forms驗證，如果驗證失敗，再檢查是否是NT域中的Intranet用戶(hù)并進(jìn)行驗證。理論上，我們可以通過(guò)下面的參數來(lái)檢查是否與請求關(guān)聯(lián)了一個(gè)Windows已登錄用戶(hù)：

Request.ServerVariables["LOGON_USER"] 

　　然而，除非站點(diǎn)禁用了匿名訪(fǎng)問(wèn)，否則該值一直為空。我們可以在IIS控制面板中禁用匿名訪(fǎng)問(wèn)，并啟用集成Windows驗證。這樣LOGON_USER值中將包含已登錄的Intranet用戶(hù)的NT域名。但是所有的Internet用戶(hù)將面臨Windows用戶(hù)名和密碼的挑戰。這不爽。我們希望Internet用戶(hù)可以通過(guò)Forms驗證進(jìn)行登錄，而當失敗的時(shí)候再檢測其Windows域憑證。

　　解決這一問(wèn)題的一個(gè)方法是，為Intranet用戶(hù)提供一個(gè)特殊的入口頁(yè)，在這里啟用集成Windows驗證，驗證域用戶(hù)，然后創(chuàng )建一個(gè)Forms Cookie并導航到主站點(diǎn)。我們甚至可以通過(guò)Server.Transfer來(lái)隱藏Intranet用戶(hù)訪(fǎng)問(wèn)了不同的頁(yè)面這一事實(shí)。

　　還有一種簡(jiǎn)單的解決方案。因為IIS處理驗證過(guò)程，如果一個(gè)Web站點(diǎn)啟用了匿名訪(fǎng)問(wèn)，IIS會(huì )將請求正確地傳遞給ASP.NET 運行時(shí)。它不會(huì )嘗試執行任何類(lèi)型的驗證。然而，如果請求的結果是一個(gè)驗證錯誤（401），IIS會(huì )嘗試特定于該站點(diǎn)的另外一種驗證方法。你可以同時(shí)啟用匿名訪(fǎng)問(wèn)和集成Windows驗證，然后再Forms驗證失敗后執行下面的代碼：

if (System.Web.HttpContext.Current.Request.ServerVariables["LOGON_USER"] == "") 

{ 

    System.Web.HttpContext.Current.Response.StatusCode = 401; 

    System.Web.HttpContext.Current.Response.End(); 

} 

else 

{ 

    // Request.ServerVariables["LOGON_USER"] has a valid domain user now! 

} 

　　這段代碼執行時(shí)，會(huì )首先檢測域用戶(hù)并得到一個(gè)空的字符串。然后它會(huì )終止當前請求并向IIS返回驗證錯誤（401）。這將導致IIS使用另外一種驗證機制，在這種情況下是集成Windows驗證。如果用戶(hù)已經(jīng)登錄到域，請求會(huì )被重復一次，此時(shí)會(huì )填充NT域用戶(hù)信息。如果用戶(hù)沒(méi)有登錄到域，他將有三次機會(huì )輸入Windows用戶(hù)名/密碼。如果用戶(hù)無(wú)法在三次嘗試之內完成登錄，他會(huì )得到403錯誤（拒絕訪(fǎng)問(wèn)）。

小結

　　我們討論了在兩個(gè)ASP.NET應用之間進(jìn)行的各種場(chǎng)景的單點(diǎn)登錄。當然也可以實(shí)現不同平臺間的異構系統上的SSO。其思路是同樣的，但實(shí)現起來(lái)可能需要一些創(chuàng )造性的想法。