8、ASP.NET安全与信任级别深度解析

ASP.NET安全与信任级别深度解析

1. HTTP请求处理中的安全事件

在ASP.NET的HTTP请求处理流程中，有几个关键的安全事件值得关注。 AuthenticateRequest 和 AuthorizeRequest 事件相关的 DefaultAuthenticationModule 、 FileAuthorizationModule 和 UrlAuthorizationModule 都具备将请求直接转发到 EndRequest 事件的能力。 EndRequest 事件在管道中是一个方便执行清理任务或最终处理的位置，因为它保证会在请求完成时运行。除了安全相关的处理， SessionStateModule 等ASP.NET代码也会利用这个事件确保会话的关闭和持久化操作。

对于安全目的， FormsAuthenticationModule 会在未认证用户尝试访问受保护资源时，根据 Response.StatusCode 的值来执行自定义操作。如果 StatusCode 设置为401（并且认证模式为表单认证），该模块会获取配置的登录重定向URL，并添加一个名为 ReturnUrl 的查询字符串变量，其值为当前请求的路径和相关查询字符串变量。然后，它会向浏览器发出重定向指令，引导用户前往登录页面。

虽然 Form