Asp.Net二级域名共享Forms身份验证、下载站/图片站的授权访问控制
更新时间：2012年02月14日 22:00:42 作者：
我们平时一般在做图片或者文件下载权限控制的时候基本都是控制到下载页面的，当你的下载地址暴露后，浏览者就直接可以通过文件地址进行下载了，这时候也就出现了我们常说的盗链
一般大家对小文件的解决办法是直接在服务端读取文件，然后输出，这样就避免了文件地址的暴露，这是一种解决办法。而我现在想说的是使用 TransmitFile 方法直接输出文件，但是这个方法对大文件的支撑力度有多少，以及会带来多大的性能开销，我还没有测试过，有兴趣的朋友可以测试下，并发表评论。
好了，进入正题，一般对下载站，大家想到的就是流量的问题，所以自动就想到应该把文件与程序代码分开部署。所以我给文件单独做了一个二级域名，我们就叫 file.xxx.com 吧。主网站域名就是 www.xxx.com了，或者其他二级域名都行。
那第一步就是先要实现这2个站点之间的身份验证共享了，比如登陆了主站后自动分站就实现登录了，那.Net的Forms身份验证很容易的就能实现这个功能，底层思路其实就是共享Cookie的原理。第二部就是给文件站做权限过滤。下面我们给主站以及文件站同时添加web.config。给他们加入相同的配置，Web.config主要配置代码如下：
<?xml version="1.0" encoding="UTF-8"?>
<configuration>
<connectionStrings>
</connectionStrings>
<appSettings>
</appSettings>
<system.web>
<authentication mode="Forms">
<forms loginUrl="~/Home/LogOn" defaultUrl="/" timeout="600" slidingExpiration="true" name="File" path="/" enableCrossAppRedirects="true"></forms>
</authentication> <httpCookies domain=".xxx.com"/>
<machineKey validationKey="AAA977D304FB289C182E00C710A099C9F92986DC25AD69F8" decryptionKey="AAA2B3F76A9359431E717CA8275EE72EEEDC70ED55152010" validation="SHA1"/>
</system.web>
<!--此节点只需加到文件站下--> <system.webServer>
<handlers>
<add name="*.*" path="*.*" verb="*" type="Web.Handler.Download" />
</handlers>
</system.webServer>
</configuration>
以上配置文件针对跨域访问的几个关键配置点：一：authentication的name要相同，path="/" 表示cookie存储路径为根域名，enableCrossAppRedirects="true" 表示身份验证是否可以重定向到其他应用程序。二：httpCookie节点配置为顶级域名。三：两个站点的machinekey必须相同。 那针对权限控制，通过实现.Net里面的访问过滤器，也就是IHttpHandler接口，用来拦截访问。实现方法也很简单，只要实现ProcessRequest方法就可以了，下面是我的代码：
namespace Web.Handler
{
/// <summary>
/// 文件下载登陆验证
/// </summary>
public class Download : IHttpHandler
{
public bool IsReusable
{
get
{
return true;
}
}
public void ProcessRequest(HttpContext context)
{
if (context.User.Identity.IsAuthenticated)
{
string fileName = context.Server.MapPath(context.Request.FilePath);
context.Response.ContentType = Path.GetExtension(fileName);
context.Response.TransmitFile(context.Request.FilePath);
}
else
{
context.Response.Write("您未登录！");
}
}
}
}
写完以上代码后，那就是增加过滤配置了，注意上面的配置文件注释，最主要的配置节：<add name="*.*" path="*.*" verb="*" type="Web.Handler.Download" /> name是筛选器的名称，随便填，path表示你要过滤的文件后缀，我是所有文件都需要过滤，所以直接用*.*,如果单纯只过滤jpg跟gif，可以改为：*.jpg,*.gif 即可，type表示过滤器Dll地址，也就是我们实现IHttpHandler的类全名，ok，文件访问控制就已经完成了。 注意：由于我使用的是IIS7，所以此处的Handler添加到了system.webSever节点下，IIS6及以下版本直接添加到system.web节点下就可以了。
好了，进入正题，一般对下载站，大家想到的就是流量的问题，所以自动就想到应该把文件与程序代码分开部署。所以我给文件单独做了一个二级域名，我们就叫 file.xxx.com 吧。主网站域名就是 www.xxx.com了，或者其他二级域名都行。
那第一步就是先要实现这2个站点之间的身份验证共享了，比如登陆了主站后自动分站就实现登录了，那.Net的Forms身份验证很容易的就能实现这个功能，底层思路其实就是共享Cookie的原理。第二部就是给文件站做权限过滤。下面我们给主站以及文件站同时添加web.config。给他们加入相同的配置，Web.config主要配置代码如下：
复制代码 代码如下:
<?xml version="1.0" encoding="UTF-8"?>
<configuration>
<connectionStrings>
</connectionStrings>
<appSettings>
</appSettings>
<system.web>
<authentication mode="Forms">
<forms loginUrl="~/Home/LogOn" defaultUrl="/" timeout="600" slidingExpiration="true" name="File" path="/" enableCrossAppRedirects="true"></forms>
</authentication> <httpCookies domain=".xxx.com"/>
<machineKey validationKey="AAA977D304FB289C182E00C710A099C9F92986DC25AD69F8" decryptionKey="AAA2B3F76A9359431E717CA8275EE72EEEDC70ED55152010" validation="SHA1"/>
</system.web>
<!--此节点只需加到文件站下--> <system.webServer>
<handlers>
<add name="*.*" path="*.*" verb="*" type="Web.Handler.Download" />
</handlers>
</system.webServer>
</configuration>
以上配置文件针对跨域访问的几个关键配置点：一：authentication的name要相同，path="/" 表示cookie存储路径为根域名，enableCrossAppRedirects="true" 表示身份验证是否可以重定向到其他应用程序。二：httpCookie节点配置为顶级域名。三：两个站点的machinekey必须相同。 那针对权限控制，通过实现.Net里面的访问过滤器，也就是IHttpHandler接口，用来拦截访问。实现方法也很简单，只要实现ProcessRequest方法就可以了，下面是我的代码：
复制代码 代码如下:
namespace Web.Handler
{
/// <summary>
/// 文件下载登陆验证
/// </summary>
public class Download : IHttpHandler
{
public bool IsReusable
{
get
{
return true;
}
}
public void ProcessRequest(HttpContext context)
{
if (context.User.Identity.IsAuthenticated)
{
string fileName = context.Server.MapPath(context.Request.FilePath);
context.Response.ContentType = Path.GetExtension(fileName);
context.Response.TransmitFile(context.Request.FilePath);
}
else
{
context.Response.Write("您未登录！");
}
}
}
}
写完以上代码后，那就是增加过滤配置了，注意上面的配置文件注释，最主要的配置节：<add name="*.*" path="*.*" verb="*" type="Web.Handler.Download" /> name是筛选器的名称，随便填，path表示你要过滤的文件后缀，我是所有文件都需要过滤，所以直接用*.*,如果单纯只过滤jpg跟gif，可以改为：*.jpg,*.gif 即可，type表示过滤器Dll地址，也就是我们实现IHttpHandler的类全名，ok，文件访问控制就已经完成了。 注意：由于我使用的是IIS7，所以此处的Handler添加到了system.webSever节点下，IIS6及以下版本直接添加到system.web节点下就可以了。
相关文章
ListView选择自动分页时 其实就是添加了一个DataPager分页控件两者间存在着嵌套关系《Repeater与ListView》中提到这样的分页并不是高效的 因为数据源还是返回了所有的数据 而非当前页数据2013-02-02
这篇文章主要为大家详细介绍了MVC5下拉框绑定，具有一定的参考价值，感兴趣的小伙伴们可以参考一下2017-06-06
ajaxToolkit:ModalPopupExtender演示及实现代码
ajaxToolkit:ModalPopupExtender可以让用户模拟新开一个窗口,就是在模拟新开窗口作多项选项的功能,感兴趣的朋友可以了解下，希望此文对你有所帮助2013-01-01
订单号在购物过程中起到了很好的识别作用，更方便的有利于工作人员识别商品，本文介绍利用asp.net实现生成订单号2012-12-12
ASP.NET Core 7 Razor Pages项目发布到IIS的详细过程
这篇文章主要介绍了ASP.NET Core 7 Razor Pages项目发布到IIS的详细过程,详细介绍了发布过程遇到的问题及解决方法，对ASP.NET Core 发布到IIS相关知识感兴趣的朋友一起看看吧2023-01-01
Repeater比DataList要好一些，如果不是很大数据量的话，这点差别是体现不来的。2009-12-12
这篇文章介绍了获取app.config配置文件中的参数值方法，首先是要添加System.Configuration引用，其次类文件中必须有 using System.Configuration;再次App.config添加，最后向App.config配置文件添加参数，下面通过列子给大家讲解下,需要的朋友可以参考下2015-07-07
我们在做数据录入或者查询的时候，经常需要实现按用户输入的拼音码进行数据的模糊查询功能，本文为大家介绍ASP.NET如何实现按拼音码模糊查询，需要的朋友可以参考下2015-09-09
asp.net动态产生checkbox(数据源为DB或内存集合)
动态产生一组checkbox(数据源为DB或内存集合)且post提交时后台能及时获取等等，打算使用repeater+input(checkbox)+input(hidden)来实现2013-10-10
这篇文章主要介绍了netcore 生成验证码的过程详解,本文通过实例代码给大家介绍的非常详细,感兴趣的朋友一起看看吧2024-06-06
最新评论