ASP.NET 身份验证问题

Question

我在一个 aspx 页面中有以下代码：

   protected void Page_Load(object sender, EventArgs e)
    {
        if (User.Identity.IsAuthenticated)
            lblAuthentication.Text = 
            "Authenticated user: " + User.Identity.Name;
        else
            lblAuthentication.Text = 
            "User not authenticated. Anonymous access ";

        lblWindowsIdentity.Text = 
            "Windows identity: " + WindowsIdentity.GetCurrent().Name;

    }   // Page_Load()

web.config 设置如下：

    <authentication mode="Windows" />

    <authorization>
        <allow users="*" />
    </authorization>

当以管理员 Bob 身份登录时，我得到以下输出

Authenticated user: Bob-PC\Bob
Windows identity: Bob-PC\Bob

附加代码告诉我：

    Administrator: True 
    User: True 
    Guest: False 
    PowerUser: False 
    AccountOperator: False 
    SystemOperator: False 

然后我切换用户（Windows Vista），以访客身份登录，浏览到相同的网站，我得到相同的输出？？？

Authenticated user: Bob-PC\Bob
Windows identity: Bob-PC\Bob

    Administrator: True 
    User: True 
    Guest: False 
    PowerUser: False 
    AccountOperator: False 
    SystemOperator: False 

为什么我会为不同的用户获得相同的输出？

Answer 1

WindowsIdentity.GetCurrent().Name 是运行 IIS 线程的身份。

Answer 2

因为网站在 Bob-PC\Bob 的上下文中运行，而不是您登录的用户。您正在拨打的电话正在查看网站进程（而不是网站之外发生的事情[其余窗口]）。

如果您使用的是 IIS，则可以通过修改托管网站的应用程序池的属性来更改工作进程运行的身份......

注意：您可以在 .net 中使用模拟来强制 IIS 在浏览用户的上下文中运行。这就是保护在 LAN 上运行的应用程序的方式，例如在运行 Windows 网络的情况下。但为了让它工作，你必须使用 IE，因为其他浏览器不通过域身份验证凭据）。