带有 Windows 身份验证模块的 IIS 条件身份验证

Question

我有一种不寻常的情况，在这种情况下不需要身份验证，但在某些情况下通过 Windows 身份验证学习用户 ID 会很有用。

为了给出一些上下文，我希望能够在用户代理匹配某些条件时要求 Windows 身份验证，但在其他条件下不需要身份验证。仅对 asp.net 和 iis 有一些了解，我怀疑我错过了一种简单的方法来实现这一点。到目前为止，我已经考虑编写一个模块来检查用户代理，然后在满足条件时添加 WindowsAuthenticationModule - 但我不知道如何做到这一点。

对用户代理的价值进行身份验证或不进行身份验证的最佳方式有什么建议吗？

Answer 1

如果您将 IIS 设置为使用 Windows 身份验证，您应该能够执行以下代码 sn-p 之类的操作。

但是，正如您可能从代码中的 cmets 猜到的那样，我建议您不要这样做。用户代理很容易被欺骗 - 因此您基于它执行的任何身份验证检查也可以很容易地被绕过。几乎所有在 http 标头中遇到的 任何东西 也是如此（例如，基于 http 引用者的身份验证也是一个坏主意）。

string windowsUserName = null;

var currentContext = System.Web.HttpContext.Current;

//NOT SECURE - easily spoofed!
if (currentContext.Request.UserAgent == "Some special user agent")
{
    if (!currentContext.User.Identity.IsAuthenticated 
        || currentContext.User.Identity.AuthenticationType != "Windows")
    {
        throw new SecurityException(@"You are not authorized, but you can easily 
hack this application by modifying the user agent that you send to the server.")
    }

    windowsUserName = User.Identity.Name;
}

简而言之，即使上述方法有效，也不要这样做。您确实需要彻底重新考虑如何验证您的应用程序。

如果，正如您在问题的第一句话中所指出的，这纯粹是信息性的，那么 可能没问题（例如，如果它只是用于调试目的）。但是，它 不 是合适的，例如用于审核或限制对任何资源的访问，并且您必须非常小心，不要在任何真正的安全上下文中重用此代码。