在 AspNet MVC 环境中开发期间禁用安全性

Question

我正在寻找有关开发期间 Web 应用程序中的安全配置管理的最佳实践。我有两种情况。

1. 我有一堆从数据库返回一些数据的函数（比如 REST API）。在生产环境中，调用客户端必须通过 AspNetMembership 提供程序对自己进行身份验证。
2. 还有另一组函数，其中需要经过身份验证的主体信息才能获取数据。

在开发过程中，开发人员需要在 IIS 中设置安全性和 https 来实现这一点。是否在 Asp.Net 或其他编程语言中遵循最佳实践来禁用开发期间的安全性，以便开发人员不必在托管应用程序的本地 IIS 服务器（不是 Cassini）中设置安全性，也不必在标题中提供凭据时调试。

Answer 1

最佳做法是不允许禁用安全性。如果您使用表单身份验证，则无需在 IIS 中设置安全性，只需在应用程序中设置，Visual Studio 可以轻松添加开发证书以启用 HTTPS。

最后一个最佳实践：为您的身份提供者使用 ASP.NET Identity，而不是 AspNetMembership。 AspNetMembership 在这一点上是遗留的，并且不遵循现代安全最佳实践。