ASP.NET数据流

在 ASP.NET 应用程序中进行安全设计有许多不同的方法。本节描述用于两种通用方案的数据流：模拟和使用 Cookie 的 Forms 身份验证。

方案 1：模拟

该方案根据 Internet 信息服务 (IIS) 身份验证和 Microsoft Windows NT® 文件访问安全，将对 ASP.NET 应用程序自身的安全性程序设计减少到最少。下面的插图显示了数据流。

插图显示了以下事件顺序：

1. 来自网络客户端的访问请求到达 IIS。
2. IIS 使用基本身份验证、摘要式身份验证或集成 Windows 身份验证（NTLM 或 Kerberos）对客户端进行验证。
3. 如果客户端通过身份验证，IIS 就会将已验证的请求移交给 ASP.NET。
4. ASP.NET 应用程序使用由 IIS 传递的访问令牌来模拟正在请求的客户端，并依赖 NTFS 文件权限授权访问要求。ASP.NET 应用程序仅需要验证 ASP.NET 配置文件中的内容，将启用模拟的指令设置为 true，则不需要编写任何 ASP.NET 安全代码。

   请注意如果没有启用模拟，应用程序就会以 IIS 进程标识运行。对于 Microsoft Windows® 2000 Server 和 Windows XP，默认的标识是在 ASP.NET 安装时自动创建的、名称为 ASPNET 的用户帐户。对于 Microsoft Windows Server 2003 家族产品，默认标识是 Network Service 帐户。如果要限制访问，必须使用授权的其他方法，例如 URL 授权。

   有关在 ASP.NET 应用程序中使用模拟的详细信息，请参阅模拟和通过 ASP.NET 模拟使用 IIS 身份验证。

5. 如果被授予了访问权限，则 ASP.NET 应用程序将通过 IIS 返回所请求的页面。