用好VS2005之扩展membership服务

　　ASP.NET 2.0中新增的最佳功能之一是新的成员身份服务，它提供了用于创建和管理用户帐户的易于使用的API。ASP.NET 1.x大规模引入了窗体身份验证，但仍然要求您编写相当数量的代码来执行实际操作中的窗体身份验证。成员身份服务填补了ASP.NET 1.x窗体身份验证服务的不足，并且使实现窗体身份验证变得比以前简单得多。

　　成员身份API通过两个新的类公开：Membership和MembershipUser。前者包含了用于创建用户、验证用户以及完成其他工作的静态方法。MembershipUser代表单个用户，它包含了用于检索和更改密码、获取上次登录日期以及完成类似工作的方法和属性。通过这两个新的类，我们可以不用写一行代码，方便得完成对用户的管理。但是在实际开发过程中，绝对不能满足我们日常开发的需要。经过日常项目的开发和网络上资料的搜索，现将其一一列出：

　　一、默认的各类的数据库是使用sql express的，而我们在实际开发中往往使用sql sever 2000或者sql server 2005，这时就需要我们修改数据库的类型。

　　微软给我们提供了一个Aspnet_regsql的命令来修改默认数据库。打开 Visual Studio 2005 命令提示，输入aspnet_regsql，按照提示一步一步进行即可。

　　此时打开数据库，可以发现多处来了一系列"aspnet_"开头的存储过程，这就是我们使用membership所必需的存储过程。

　　此时打开IIS,[属性] →[ASP.NET] →[编辑配置]：

　　[常规]，连接参数LocalSqlServer按照普通的sql连接字符串格式。

　　[身份验证]，模式为Forms,管理提供程序的minRequiredNonalphanumericCharacters为0，这时就可以去掉默认变态的必需需要输入字母，数字等组合的密码安全了。此步也可修改密码最低长度和最大长度等等。

　　经过此步骤，系统会自动在web.config中配置好了我们所需的规则。很方便，修改web.config以后都可以通过这种图形化工具来了。

　　二、由于自带的login控件和membership类，只提供了简单的用户信息录入，不能满足我们项目的需要。例如：我们要用户注册的时候同时输入QQ号码，电话号码，家庭地址。那么默认的是没有办法解决的。我这里给出两种解决方案。我分别用在了不同的项目中。优缺点大家自行判断。

　　1、使用profile。此类方法网上教程已经很多。不在出重复叙述，免去赚稿费的嫌疑：）。这里只是给出网上没有的部分说明。
由于membership只能列出来指定组的用户名，而不能列出其他的详细信息，我们实际使用中，往往需要对组中的其它信息进行同时修改。我采用的是自行构造datatable的方法。见代码：

public static DataTable listuser(string userRoles)//列出指定组的用户信息
2}

　　2、自定义一个membershipinfo表格，同membership系统标关联起来。自己编写SQL语句来进行查询，修改等功能。

列出指定组的用户
2 用好VS2005之扩展membership服务

select * from aspnet_membership inner join aspnet_users on
3 用好VS2005之扩展membership服务

aspnet_membership.userid=aspnet_users.userid left join memberinfo on aspnet_membership.userid=memberinfo.userid
4 用好VS2005之扩展membership服务

where aspnet_membership.userid=(select userid from aspnet_usersinroles inner join
5 用好VS2005之扩展membership服务

aspnet_roles on aspnet_usersinroles.roleid=aspnet_roles.roleid where rolename='admin')

　　删除、修改等功能比较简单，这里就不作叙述。可以采用membership的createuser方法建立，然后再用sql语句写入memberinfo表。

　　对于建立用户，我们可以采取扩展CreateUserWizard控件，或者自行写登陆界面。
　　1、采取扩展CreateUserWizard控件,我们可以使用它的模版列，此时需要注意的是：用户名，密码，提示问题，提示问题答案，Email，他们的ID一定要分别是username,Password,Question,Answer,Email否则会出错，而且此时验证控件均不能使用。怀疑是IDE的一个Bug。

　　如下所示，我们定义好的样式应当是：

<WizardSteps>
2 用好VS2005之扩展membership服务

<asp:CreateUserWizardStep runat="server"> 自定义代码部分<ContentTemplate>
3 用好VS2005之扩展membership服务

</ContentTemplate>
4 用好VS2005之扩展membership服务

</asp:CreateUserWizardStep>
5 用好VS2005之扩展membership服务

</WizardSteps>
6 用好VS2005之扩展membership服务

代码部分：
2

protected void CreateUserWizard1_CreatedUser(object sender, EventArgs e)
3}

　　2、采取自己写UI，个人推荐使用这种方法。灵活性比较大，而且可以使用2005强大的验证控件。

　　页面部分比较简单略过不再陈述。下面详细介绍一下代码部分。

　　此时我们需要使用membership的CreateUser()方法。语法我们就不再介绍。他会根据建立用户的结果返回成一个MembershipCreateStatus枚举类，它详细的包含了所有建立用户不成功的错误信息。我们只需要根据他的值，就可以返回给界面相应的提示，如：用户名已经存在，电子邮件已经存在等等。

　　对于自定义用户信息部分我们仍然可以采取profile或者自定义membershipinfo表的方法。

　　列出profile建立用户的方法。SQL语句比较简单，略过不写。

protected void Button1_Click(object sender, EventArgs e)
2}

　　个人见解：采取profile的方法，比较方便，由于profile 是强类型，可以通过智能感知功能减少代码的输入量。采取自定义数据表的方法，需要输入大量的sql语句，但是查询速度比较快，性能比较强，由于Roles.GetUsersInRole()方法无法分页读取数据，只能一次性读出来所有数据，而自写SQL 语句可以很方便的根分页结合起来。随着用户量的增多，故不推荐profile方法。
　　三、密码问题。

　　个人觉得密码是一个比较头疼的问题。我们在实际开发中总是需要admin组有对用户进行密码修改的权限。Membership提供的修改密码方法只能在已经知道密码提示答案的时候才能修改。而admin组根本不可能知道用户的密码提示答案的。这里有点好笑。难道是中西方文化差异？

　　列出个人对membership密码研究的一些心得。

　　大家都知道machine.config和web.config,如果两者发生冲突，那么以web.config优先。

　　默认状态下，membership是采用SHA1的方法进行加密，然后采取一种机制，与passwordsalt进行再次加密，最后形成数据库中显示的密码。可见随着MD5加密的破解，微软对密码的安全也煞费苦心。

　　有的朋友不喜欢默认的SHA1加密形式，我们只需要在web.config中设置以下代码来覆盖machine.config中对密码的设置就好了：

<machineKey
2 用好VS2005之扩展membership服务

validationKey="AutoGenerate,IsolateApps"
3 用好VS2005之扩展membership服务

decryptionKey="AutoGenerate,IsolateApps"
4 用好VS2005之扩展membership服务

decryption="Auto"
5 用好VS2005之扩展membership服务

validation="MD5/SHA1/Clear" />

　　其中：

　　Clear - 密码以明文形式存储。用户密码可与此值直接比较，而不需要进行进一步的转换。

　　MD5 -使用消息摘要 5 (MD5) 哈希摘要存储密码。为了验证凭据，将使用 MD5 算法对用户密码进行哈希运算并将计算出来的值与存储的值进行比较。使用此值时，从不存储或比较明文密码。此算法的性能比 SHA1 好。

　　SHA1 -使用 SHA1 哈希摘要存储密码。为了验证凭据，将使用 SHA1 算法对用户密码进行哈希运算并将计算出来的值与存储的值进行比较。从不存储明文密码。使用该算法可以获得比 MD5 算法高的安全性。

　　然而虽然MembershipUser提供了GetPassword 方法，但是这是后只有在加密形式设置成Clear,即密码在数据库中以明码的形式存在，才能得到密码。而ChangePassword必须要提供旧密码或者密码提示答案才可以修改。对用户管理造成了很大的不便。找了许多资料无解。顺便提带一下：微软的membership机制起源于csblog,并进行了一定的修改。

　　Csblog对密码的策略：首先对用户输入的密码进行加密（SHA1或者MD5）,然后根据系统自动生成的密匙再次对加密后的密码进行DES加密。不过我按照csblog 的方法进行加密的时候，形式相同，密码却不同，目前正在演就中。也欢迎大家共同讨论。

　　如果passwordsalt和password固定，那么用户密码肯定一定。所以目前我采取的一个方法就是给用户重新设置成固定密码的功能。

　　首先取得已知用户密码的passwordsalt和password,然后替换相应用户的passwordsalt和password字段。这时，用户的密码就已经恢复成已知的密码了。

　　不可否认，membership给我们开发中创造了很大的便利，其方便的Roles功能，对于我们进行权限管理的时候提供了很好的解决方案。2005许多功能均进化自csblog这优秀的开源项目,有兴趣者可以研究csblog,以进一步的了解membership的运作机制。限于篇幅，MSDN上边有做介绍的我就不再重复叙述。只介绍MSDN上没有列出的技巧跟我在项目开发中的一些心得。 ASP.NET 2.0为使用窗体身份验证的Web站点提供了重要的安全性优势。通过提供用户配置文件储备库以及对角色的支持，窗体身份验证将走出ASP.NET内行的视野，而得以更广泛地实现。