根据角色要求某些用户使用更强的密码

Question

我有一个 MVC 3 应用程序。关于安全主要有两个区域。第一个主要是防止公共访问，但不是真正的敏感信息。密码强度可能很弱，因为也没有太大的危害。

第二区域（区域）受到限制。用户必须申请访问。如果用户获得访问权限，它将获得某个角色。因此，每个控制器方法都会根据该角色对用户进行自动化。

我希望这些用户在下次登录时必须将密码更改为强密码，然后才能进一步访问受限内容。

示例：

用户 A 申请访问。 授予访问权限。密码策略 只要该用户具有访问权限，该用户就会被更改。他们一定 下次登录时更改密码，并且无法改回 只要他们具有该角色，就可以使用较弱的密码。

有没有使用 ASP.NET 实现此功能的安全方法？

更新

我实际上使用了 Chris 提出的解决方案并且它有效，但是为了处理密码本身的验证，我实际上也从 Micah 提出的解决方案中获得了一些灵感。然而，事实证明，重写 MembershipProvider.OnValidatingPassword 确实意味着还必须实现 10 多个我真的不需要解决这个问题的抽象方法。

在我看来，一个更好的解决方案是连接到 Membership.ValidatingPassword 事件。我在 App_Start 中执行此操作，然后在事件处理程序中实现自己的密码验证，这解决了我的问题。

只是为了与您分享解决方案，我在这里介绍它，与 Chris 解决方案一起解决了我的问题，并希望也适用于其他人：

    void App_Start()
    {
        //To do custom validation on certain passwords set new event handler
        Membership.ValidatingPassword += Membership_ValidatingPassword;
    }

private void Membership_ValidatingPassword(object sender, ValidatePasswordEventArgs e)
    {
        //If the user is a new user, we let registration happen without strong password
        if (e.IsNewUser) return;


        MembershipUser membershipUser = Membership.GetUser(e.UserName);
        Guid userId = Guid.Parse(membershipUser.ProviderUserKey.ToString());

        //First check if the pwd is strong enough to be flagged, if so we flag it
        //using regex to validate the password (20 char, 2 uppercase so on)
        if (MyValidationClass.IsStrongPassword(e.Password, 20, 2, 4, 1))
        {
            //if the user does not already have a flag we set one
            MyValidationClass.SetStrongPasswordFlag(userId);
        }
        else
        {
            //If the user needs strong pwd, we cancel the operation and throw exception
            if (MyValidationClass.NeedsStrongPassword(e.UserName))
            {
                e.FailureInformation =
                    new MembershipPasswordException("Password does not satisfy reqirements!");
                e.Cancel = true;
            }
            else
            {
                MyValidationClass.RemoveStrongPasswordFlag(userId);
            }
        }
    }

Answer 1

您可以编写自己的授权属性来适应两者。您只需在应用程序的相关部分使用它即可：

例如：

public class HasChangedPasswordAttribute : AuthorizeAttribute
{      
    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        UserRepository repo = new UserRepository();
        var user = repo.GetCurrentUser();
        bool hasSecurelyChangedPassword = user.HasSecurelyChangedPassword;
        return hasSecurelyChangedPassword;
    }

    protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
    {
        filterContext.Result = new RedirectResult("/Account/ChangePassword");
    }
}

上面将检查用户是否安全地更改了密码。如果不是，它会将他们重定向到一个新页面，在该页面中更改他们的密码。一旦他们更改它，将标志设置为已更改。

然后你可以像这样使用它：

[HasChangedPassword]
[Authorize(Roles="SuperRole")]
public ActionResult MySecureAction()
{
 ...
}

您显然可以将这两个属性整合为一个，但为了显示上面的示例，它们是分开的。

Answer 2

您需要覆盖 MembershipProvider.OnValidatingPassword

http://msdn.microsoft.com/en-us/library/system.web.security.membershipprovider.onvalidatingpassword.aspx

Answer 3

当您的用户尝试输入新密码时，可能更简单的方法是在客户端检查密码强度。查看list 了解一些使用 JQuery 的示例。

关于升级和重置密码的事务，这是您的代码可以处理的事情，即用户表中的一个标志，将用户重定向到新的注册页面。但是当他们设置密码（并且可能与适当的强度匹配）后，就可以提交了......