对于 ASP.NET 站点来说，什么是公认的最佳实践，以实现不基于 Windows AD 并将帐户信息存储在数据库中的安全身份验证和授权？是使用内置的 Forms Authentication、库存或自定义滚动的 MembershipProvider、Enterprise Library 安全块吗？
它们之间是否有优缺点，例如替换 Forms Authentication 会使使用需要限制但不是 ASP.NET 文件的文件来保护目录变得更加困难或不可能？
【问题讨论】：
哎呀，这是一个很大的话题，所以我将列出一些一般性的观点。
表单身份验证为您提供了一个与会话 cookie 分开的身份验证 cookie，该 cookie 可以防止篡改并且可以加密。它的提供者模型意味着即使您推出自己的成员资格提供者，这种保护仍然存在，并且这些提供者可用于保护 WCF Web 服务，并允许使用 silverlight 进行身份验证和授权
Forms auth 还在执行线程上创建一个 IIdentity/IPrincipal 对象，这意味着您可以使用 CAS PrincipalPermission 要求来保护可以与您的 ASP.NET 应用程序分离的方法、类甚至程序集，从而使授权成为它的横切关注点应该是。
Forms auth 也被 IIS7 的文件保护机制使用，因此可以与 IIS7 一起使用来保护任何类型的文件，而不仅仅是那些与 ASP.NET ISAPI DLL 相关联的文件（你可以在 IIS6 中做一个狂野的卡映射并将所有内容都通过 ASP.NET 管道，但这会影响可伸缩性）
表单身份验证不允许模拟。
滚动您自己会删除所有这些。您可以开始使用 HTTP 模块重新构建它，该模块将执行您自己的 cookie 加载和验证，在线程上创建主体并检查对资源的访问。您仍然需要编写数据库位、控件（如果需要）、您自己的类并将它们插入。
你需要把它做好。
标准方法有很多优点，而且它已经被很多人锤炼、测试、使用和滥用，你自己的最大缺点是你可能没有你那么聪明认为你是 - 我知道我不会这样做。
【讨论】：
使用表单身份验证（使用股票 MembershipProvider 或自定义 MembershipProvider）通常被认为是标准。
【讨论】：