我正在一个 asp.net 网站上实现简单的身份验证。使用基本表单身份验证几乎是完美的：我将身份验证模式设置为 Forms，并在 web.config 中有一个简短的凭据部分，并使用使用 FormsAuthentication.Authenticate() 和 FormsAuthentication.RedirectFromLoginPage() 的简单登录 aspx 页面。
但是，我想为某些客户端 IP 地址添加额外检查。如果请求来自某个 IP 地址，我想自动授权该请求，而不是将该请求重定向到登录页面。有没有一种简单的方法来扩展或覆盖内置表单 AuthenticateRequest？我的另一个选择是创建自己的 HttpModule 来执行此操作，但如果我这样做，我似乎会失去 FormsAuthentication 方法的良好功能以及它们与凭据部分的交互。有什么建议吗？
【问题讨论】：
标签： asp.net forms-authentication
首先，您确定要这样做吗？如果有人能猜出您未验证的 IP 地址范围，那么 IP 欺骗将是攻击您网站的理想方法！即使他们只知道地址范围，这也使得暴力攻击变得微不足道。
其次，您只需检查登录页面中的 IP 地址并从那里重定向...不需要 HttpModule。但是，同样，如果我是你，我不会这样做。
更新： R G - 几件事。我的想法是你会在重定向之前做一个 Authenticate() 调用。这将避免重定向循环返回。但看起来你甚至不需要那个，因为......
其次，根据您在下面的评论（在 Ben 的帖子中），您将在 Web 服务中使用此代码。如果是这种情况，您不能将 Web 服务作为允许访问页面放在 Web.Config 页面中吗？只需添加：
<location path="YourWebService.asmx">
<system.web>
<authorization>
<allow users="*" />
</authorization>
</system.web>
</location>
这就是我们所做的，尽管我们确实要求我们的网络服务的用户在我们处理网络服务请求之前发送一个“魔法短语”（它也是 SSL 加密的）。
【讨论】：
我同意马克的观点。
如果您想让客户在首次验证其凭据（正确地）后非常容易地连接到您的网站，您可以通过修改 web.config 为他们提供一个基本上永久的持久性 cookie：
<system.web>
...
<authentication mode="Forms">
<forms timeout="50000000" />
</authentication>
...
</system.web>
同时调用 RedirectFromLoginPage() 并将 createPersistentCookie 设置为 true。
已编辑警告：如果您这样做（或确实提供任何持续时间的持久性 cookie），还可以通过某种复选框为用户提供拒绝持久性 cookie 的选项。 （最好是反向工作：他们必须检查它以获得持久性 cookie，标题为“单击此以在这台计算机上记住我”或类似名称。）
【讨论】：
REMOTE_ADDR 服务器变量将为请求者提供 IP 地址，您可以在允许的地址列表中再次检查它。
http://msdn.microsoft.com/en-us/library/ms524602.aspx
此外，您可以将 IIS 配置为仅允许 IIS 管理控制台中的某些 IP 地址并放弃代码，如果您愿意的话。
【讨论】：