ASP.NET应用程序的安全方案（二）—授权

关注

转载最新推荐文章于 2026-08-19 11:50:22 发布 576 阅读 AI 写同款· GEO 优化 ›

【ASP.NET教程-ASP.NET简介】构建强大的Web应用程序的开发框架 ASP.NET是一种用于构建Web应用程序的开发框架。它是Microsoft.NET平台的一部分，使用C#或VB.NET等编程语言进行开发。ASP.NET支持Web表单、MVC（模型-视图-控制器）和Web API等开发模式。ASP.NET基于服务器端技术，它将Web应用程序的逻辑和用户界面分离，以提供更好的可维护性和灵活性。它还提供了许多内置的功能和控件，用于处理用户输入、数据验证、会话管理等常见的Web开发任务。阅读详情

摘要：本文ASP.NET应用程序授权的概念，介绍了各种授权模式并进行了比较，阐述了选择授权模式的机制。

关键字：授权 authorization ASP.NET WEB应用

1.1. 授权概念

    任何成功的应用程序安全策略的基础都是稳固的身份验证和授权手段，以及提供机密数据的保密性和完整性的安全通讯。
    授权（authorization）过程负责控制通过了身份验证的客户端可以访问哪些资源，以及可以执行哪些操作。可访问的资源既包括文件、数据库等，还包括系统级的资源，如注册表，配置数据等。
    许多WEB程序不是直接授权客户访问底层的资源，而是通过方法（method）来授权客户端所能够执行的操作。这样做的主要原因是考虑到应用系统的可伸缩性和可管理性。     图1列出了各种安全技术以及每种技术所提供的主要授权方式。

2. 2. 授权方式

如图1所示，Windows 2000上的.NET框架上提供了以下几种授权方式：

ASP.NET授权
Enterprise Services授权
SQL Server授权

2.1 ASP.NET授权

2.1.1 URL授权

这是一种通过计算机的设置和应用程序配置文件来配置的授权机制。URL授权允许限制用户访问位于应用程序URI命名空间中的特定文件和文件夹。

2.1.2 文件授权

可以使用此方法来限制对某个WEB服务器上指定文件的访问。访问权限由与文件相关的Windows ACL所确定。

2.1.3 主体权限请求

主体权限请求（Principal Permission Demand）可以通过声明方式或是编程方式作为一种额外的精确的访问控制机制。这种方式允许你根据单个用户的身份标识组成员关系，来限制对类、方法或单独代码的访问。

2.1.4 .NET角色

.NET角色用于将应用程序中具有相同权限的用户分成一组。这种方式可以和基于票证的身份验证方案（如窗体身份验证）一起使用，可以通过声明方式或是编程方式来配置对资源和操作的访问。

2.2 Enterprise Services授权

在Enterprise Services的应用程序中，由Enterprise Services 角色的成员关系来控制客户端访问包含于服务器组件的功能。这些角色和.NET角色不同，而且可以包含Windows组帐户或用户帐户。角色成员关系是在COM+目录中定义的，而且通过组件服务（Component Service）工具管理。