asp.net | 日記

Asp.Net フォーム認証

2008/02/28 § コメントする

フォーム認証

http://www.atmarkit.co.jp/fdotnet/aspnet/aspnet19/aspnet19_01.html

フォーム認証を使う場合に選択することが二つある。

１・ID、パスワードをどこに保存するか？

２・どこまでweb.configの設定を使うか？

１・ID、パスワードをどこに保存するか？

ID、パスワードをweb.configに保存するか、XMLなりRDBなり他の場所に保存するかの選択になる。

web.configのauthentication/forms/credentialsにID、パスワードを保存すればFormsAuthentication.Authenticateを使ってID、パスワードの検証を行ってくれる。

が、web.configにID、パスワードを書きたい人はほとんどいないんじゃないかと思うし、web.configのauthentication/forms/credentialsにはロールの設定まではかけない。

まぁ大半はFormsAuthentication.Authenticateはあきらめて認証は自前でするんだと思う。

２・チケットやcookieにどこまでweb.configの設定を使うか？

FormsAuthentication.RedirectFromLoginPageを使えばweb.configの設定を使って認証coookieを発行してくれるが、汎用性にはかける。

UserDataに任意の値を渡したい、発行する認証チケットやcookieの有効期限の設定を自身のロジックで設定したい、などのニーズがあるなら、認証チケットの発行とcookieへの細んは自分で行う必要がある。

以下はサンプル

「web.configにID、パスワードを保存＋RedirectFromLoginPage使用」

web.configにユーザ情報まで書いてしまう方法。

ほとんどAsp.Netが面倒を見てくれるけど、さすがに相当小規模なサイトでないとこの方法は使えないと思う。

サンプルを作ってたとき、認証cookie発行前なのに、ログインページへリダイレクトされずに悩んだ。

結局、authorization/allow/@usersを?にしていたせいで非認証ユーザのアクセスが許可されてただけでした。orz

web.config

ユーザIDやパスワードのアカウント情報もここに書いてしまう。

この辺が実際には使わない理由。configSourceでここだけ外に出す手はあるかもしれないけどそれでも・・・。

configuration/system.web

にこんな記述をする。

<authentication mode="Forms">
<forms name="auth" loginUrl="login.aspx" protection="All" path="/" timeout="30">
<credentials passwordFormat="Clear">
<user name="aaa" password="aaa"/>
<user name="bbb" password="bbb"/>
</credentials>
</forms>
</authentication>

authentication/@modeは文字通り認証のモードをForm認証にしている。

authentication/formsはForm認証の設定。

authentication/forms/@name：認証cookieの名前

authentication/forms/@loginurl：認証cookieが見つからない場合に、リダイレクトするurlを指定。

認証せずにコンテンツを要求すると、Asp.Netがログインページに飛ばしてくれる。便利やな。

authentication/forms/@protection：cookie暗号化の種類。allにしとけ。

authentication/forms/@path：cookieのパス

authentication/forms/@timeout：認証cookieのタイムアウト。単位は分。

ここでいうタイムアウトは認証cookieのタイムアウトなので、Asp.Netのセッションオブジェクトのタイムアウトとは別物みたいなので注意。

authentication/forms/credentials以下は認証に使うアカウントとパスワード。

authentication/forms/credentials/@passwordFormatを変えればハッシュ値をパスワードにできたりもする。一応。

その他はこちら。

http://msdn2.microsoft.com/ja-jp/library/1d3t3c61(VS.80).aspx

<%@ Page Language="C#" EnableViewStateMac="true" AutoEventWireup="true" CodeFile="Login.aspx.cs" Inherits="Login"  %>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head runat="server">
    <title>ログイン</title>
</head>
<body>
<form id="form1" runat="server">
<div>
<asp:TextBox ID="txtId" runat="server"></asp:TextBox>
<br>
<asp:TextBox ID="txtPas" runat="server"></asp:TextBox>
<br>
<asp:Label ID="lblPersist" runat="server" Text="次回から自動ログインする"></asp:Label><asp:CheckBox ID="cbPersist" runat="server" />
<br />
<br />
<asp:Button ID="btnLogin" runat="server" Text="Login" 
            onclick="btnLogin_Click" />
<br />
<asp:Label ID="lblMsg" runat="server" Text=""></asp:Label>
</div>
</form>
</body>
</html>

using System;
using System.Web.Security;
public partial class Login : System.Web.UI.Page
{
protected void btnLogin_Click(object sender, EventArgs e)
{
if (!FormsAuthentication.Authenticate(this.txtId.Text, this.txtPas.Text))
{
this.txtPas.Text = string.Empty;
this.lblMsg.Text = "ログイン失敗";
return;
}
FormsAuthentication.RedirectFromLoginPage(this.txtId.Text, this.cbPersist.Checked);
}
}

aspxはシンプルなログイン画面。

認証のロジックはbtnLogin_Clickなんだけど、とても簡単。

System.Web.Security.FormsAuthentication#Authenticateメソッドがweb.configのauthentication/forms/credentialsの定義をみてユーザ名、パスワードの検証をやってくれる。

System.Web.Security.FormsAuthentication#RedirectFromLoginPageは認証cookie発行し、ログイン画面に遷移する前のページにリダイレクトしてくれる。

Default.aspx

<%@ Page Language="C#" AutoEventWireup="true"  CodeFile="Default.aspx.cs" Inherits="_Default" %>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head runat="server">
    <title>認証テスト</title>
</head>
<body>
<form id="form1" runat="server">
<div>
<asp:Button ID="btnLogout" runat="server" Text="Logout" 
            onclick="btnLogout_Click" />
<a href="page.html">page.html</a>
<a href="page.aspx">page.aspx</a>
</div>
</form>
</body>
</html>

Default.aspx.cs

using System;
using System.Linq;
using System.Web.Security;
using System.Security.Principal;
public partial class _Default : System.Web.UI.Page
{
protected void btnLogout_Click(object sender, EventArgs e)
{
FormsAuthentication.SignOut();
Response.Redirect("login.aspx");
}
protected void Page_Load(object sender, EventArgs e)
{
Response.Write("ページ要求を行っている認証されたユーザの情報");
Response.Write("<hr>");
IIdentity iid = User.Identity;
iid.GetType().GetProperties().Where(
pi => pi.Name == "AuthenticationType" ||
pi.Name == "ImpersonationLevel" ||
pi.Name == "IsAuthenticated" ||
pi.Name == "IsGuest" ||
pi.Name == "IsSystem" ||
pi.Name == "IsAnonymous" ||
pi.Name == "Name" ||
pi.Name == "Groups").ToList().ForEach(
pi => this.Response.Write(pi.Name + ":" + pi.GetValue(iid, null) + "<br>"));
//グループも表示
//iid.GetType().GetProperties().Where(
//    pi => pi.Name == "Groups").ToList().ForEach(
//    pic =>
//    {
//        IdentityReferenceCollection ic = pic.GetValue(iid, null) as IdentityReferenceCollection;
//        if (ic == null)
//        {
//            return;
//        }
//        ic.OfType<System.Security.Principal.IdentityReference>()
//            .ToList().ForEach(
//                t => Response.Write(t.Value + "<br>"+ t.Translate(typeof( NTAccount)).Value + "<br>"));
//    });
Response.Write("<br>");
Response.Write("<br>");
Response.Write("プロセスを実行しているユーザの情報");
Response.Write("<hr>");
WindowsIdentity wi = WindowsIdentity.GetCurrent();
wi.GetType().GetProperties().Where(
pi => pi.Name == "AuthenticationType" ||
pi.Name == "ImpersonationLevel" ||
pi.Name == "IsAuthenticated" ||
pi.Name == "IsGuest" ||
pi.Name == "IsSystem" ||
pi.Name == "IsAnonymous" ||
pi.Name == "Name" ||
pi.Name == "Groups").ToList().ForEach(
pi => this.Response.Write(pi.Name + ":" + pi.GetValue(wi,null) + "<br>"));
}
}

btnLogout_Clickでサインアウト処理しているの以外は認証の情報を表示するだけ。

「ID、パスワードを自前で確認＋チケット、cookieを自前で発行（あとロールも）」

多少書かないといけないけど、それでも大した量ではないと思う。

web.config

<authentication mode="Forms">
<forms name="auth" loginUrl="login.aspx" path="/">
</forms>
</authentication>

web.configの情報はあまり使わないので記述が減った。

<%@ Page Language="C#" EnableViewStateMac="true" AutoEventWireup="true" CodeFile="Login.aspx.cs" Inherits="Login"  %>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head runat="server">
    <title>ログイン</title>
</head>
<body>
<form id="form1" runat="server">
<div>
<asp:TextBox ID="txtId" runat="server"></asp:TextBox>
<br>
<asp:TextBox ID="txtPas" runat="server"></asp:TextBox>
<br>
<asp:Label ID="lblPersist" runat="server" Text="次回から自動ログインする"></asp:Label><asp:CheckBox ID="cbPersist" runat="server" />
<br />
<br />
<asp:Button ID="btnLogin" runat="server" Text="Login" 
            onclick="btnLogin_Click" />
<br />
<asp:Label ID="lblMsg" runat="server" Text=""></asp:Label>
</div>
</form>
</body>
</html>

using System;
using System.Web;
using System.Web.Security;
public partial class Login : System.Web.UI.Page
{
protected void btnLogin_Click(object sender, EventArgs e)
{
if (!Validate(this.txtId.Text, this.txtPas.Text))
{
this.txtPas.Text = string.Empty;
this.lblMsg.Text = "ログイン失敗";
return;
}
string role = "admin";  //ロール
var ticket = new FormsAuthenticationTicket(
1,       //チケットのバージョン
this.txtId.Text,    //ユーザID
DateTime.Now,    //発行日時
DateTime.Now.AddMinutes(30),    //有効期限
this.cbPersist.Checked,        //永続的なcookieに保存するかどうか
role);                //UserData領域。好きなものを入れればいい。
var ck = new HttpCookie(
FormsAuthentication.FormsCookieName,
FormsAuthentication.Encrypt(ticket));
if (this.cbPersist.Checked)
{
ck.Expires = DateTime.Now.AddYears(50);
}
ck.Path = FormsAuthentication.FormsCookiePath;
Response.Cookies.Add(ck);
Response.Redirect(FormsAuthentication.GetRedirectUrl(this.txtId.Text, this.cbPersist.Checked));
}
//ユーザのチェック
private bool Validate(string id, string pass)
{
return (id == "aaa" && pass == "aaa") || (id == "bbb" && pass == "bbb");
}
}

チケットの発行、cookieへの格納を自前でやった上で元ページへリダイレクトしている。

Default.aspxとDefault.aspx.csは前と同じ。

これに加えてロールでのauthorizationをしたいのであればもう少しやらなければならないことがある。

Windows認証ではWindowsアカウントのグループがロールにマップされたけど、フォーム認証では自分でPrincipalにロールを設定しないといけない。

別にロールを設定しなくてもいい場合もあるだろうけど、ロールでのauthorizationをしたり、Page.User.IsRoleでプログラムの挙動を変えたいのであればロールの設定が必要。

認証後でauthorizationの前にロールを設定しなければならないのでロールの設定場所はHttpApplicationのAuthenticateRequestイベント、ということになる。

AuthenticateRequestイベントをハンドルするにはIHttpModule実装を用意する方法とglobal.asaxがあるみたい。

IHttpModule実相は受信フィルタパターンで使う予定だから（つうかもともと受信フィルタパターンをやってたのに。。。）今回はglobal.asaxに書いた。

global.asax

<%@ Application Language="C#" %>
<script runat="server">
protected void Application_AuthenticateRequest(object sender, EventArgs e)
{
var ck = Context.Request.Cookies[FormsAuthentication.FormsCookieName];
if (ck == null)
{
return;
}
var ticket = FormsAuthentication.Decrypt(ck.Value);
if (ticket == null)
{
return;
}
string role = (string)ticket.UserData;
var fid = new FormsIdentity(ticket);
var p = new System.Security.Principal.GenericPrincipal(
fid, new[] { role });
Context.User = p;
}
</script>

Asp.Net Windows認証

2008/02/28 § コメントする

Windows認証

ページ要求を行っている認証されたユーザの情報
プロセスを実行しているユーザの情報
を表示するページを用意して、認証方法を変えて確認。

テスト用にTestUserというアカウントを用意した。
runasでTestUserでIEを起動してテストサイトにアクセスした。
C:\Program Files\Microsoft Visual Studio 9.0\VC>runas /user:Gerbera\TestUser ”C\Program Files\Internet Explorer\iexplore.exe”

01
IIS認証方法
匿名アクセス

page.html、page.aspxのACL
IUSER_XXX
ASP.NET

まぁこれはうまくいく。
認証されたアカウントはIsAnonymousだけど、プロセスを実装しているユーザはASP.NETなのは注意。

02
IIS認証方法
匿名アクセス許可

page.html、page.aspxのACL
ASP.NET

page.html、page.aspxともにアクセス失敗。
page.htmlは単純にIUSER_XXXでアクセスにいったが、アクセスが許可されていないので失敗。
page.aspxはasp.netがIUSER_XXXAclのチェックにいって失敗。

03
IIS認証方法
匿名アクセス許可

page.html、page.aspxのACL
IUSER_XXX

page.htmlはIUSER_XXXのアクセスが許可されているから表示できる。
page.aspxはasp.netのアクセス許可がないのでエラーになっている。

04
IIS認証方法
windows統合認証

page.html、page.aspxのACL
ASP.NET
TestUser

これはうまくいく。
認証されたユーザがTestUserになっている。
プロセスを実行しているユーザはやっぱりASP.NET

05
IIS認証方法
windows統合認証

page.html、page.aspxのACL
ASP.NET
TestUserはアクセスできないので、ダイアログがでた。
このダイアログでアクセス権のあるユーザでログインすればその後のページも表示される。

06
IIS認証方法
windows統合認証

page.html、page.aspxのACL
TestUser

page.htmlはTestUserのアクセスが許可されているから表示できる。
page.aspxはasp.netのアクセス許可がないのでエラーになっている。

07
IIS認証方法
windows統合認証
impersonate=”false”

偽装を有効にした。
認証されたユーザもプロセスを実行しているユーザTestUserになった。

ソース
default.aspx


<%@ Page Language="C#" AutoEventWireup="true"  CodeFile="Default.aspx.cs" Inherits="_Default" %>

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">

<html xmlns="http://www.w3.org/1999/xhtml">
<head runat="server">
    <title>認証テスト</title>
</head>
<body>
    <form id="form1" runat="server">
    <div>
            <a href="page.html">page.html</a>
            <a href="page.aspx">page.aspx</a>
    </div>
    </form>
</body>
</html>

default.aspx.cs


using System;
using System.Configuration;
using System.Data;
using System.Linq;
using System.Web;
using System.Web.Security;
using System.Web.UI;
using System.Web.UI.HtmlControls;
using System.Web.UI.WebControls;
using System.Web.UI.WebControls.WebParts;
using System.Xml.Linq;
using System.Security;
using System.Security.Principal;

public partial class _Default : System.Web.UI.Page 
{
    protected void Page_Load(object sender, EventArgs e)
    {
        Response.Write("ページ要求を行っている認証されたユーザの情報");
        Response.Write("<hr>");
        IIdentity iid = User.Identity;
        iid.GetType().GetProperties().Where(
            pi => pi.Name == "AuthenticationType" || 
                pi.Name == "ImpersonationLevel" || 
                pi.Name == "IsAuthenticated" || 
                pi.Name == "IsGuest" || 
                pi.Name == "IsSystem" || 
                pi.Name == "IsAnonymous" || 
                pi.Name == "Name" || 
                pi.Name == "Groups").ToList().ForEach(
            pi => this.Response.Write(pi.Name + ":" + pi.GetValue(iid, null) + "<br>"));

        //グループも表示
        //iid.GetType().GetProperties().Where(
        //    pi => pi.Name == "Groups").ToList().ForEach(
        //    pic =>
        //    {
        //        IdentityReferenceCollection ic = pic.GetValue(iid, null) as IdentityReferenceCollection;
        //        if (ic == null)
        //        {
        //            return;
        //        }

        //        ic.OfType<System.Security.Principal.IdentityReference>()
        //            .ToList().ForEach(
        //                t => Response.Write(t.Value + "<br>"+ t.Translate(typeof( NTAccount)).Value + "<br>"));
        //    });

        Response.Write("<br>");
        Response.Write("<br>");
        Response.Write("プロセスを実行しているユーザの情報");
        Response.Write("<hr>");
        WindowsIdentity wi = WindowsIdentity.GetCurrent();
        wi.GetType().GetProperties().Where(
            pi => pi.Name == "AuthenticationType" || 
                pi.Name == "ImpersonationLevel" || 
                pi.Name == "IsAuthenticated" || 
                pi.Name == "IsGuest" || 
                pi.Name == "IsSystem" || 
                pi.Name == "IsAnonymous" || 
                pi.Name == "Name" || 
                pi.Name == "Groups").ToList().ForEach(
            pi => this.Response.Write(pi.Name + ":" + pi.GetValue(wi,null) + "<br>"));
    }
}

page.aspx


<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">

<html xmlns="http://www.w3.org/1999/xhtml">
<head>
    <title&#62
;Page</title>
</head>
<body>
<h1>Page.aspx</h1>
</body>
</html>

page.html
<hr>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">

<html xmlns="http://www.w3.org/1999/xhtml">
<head>
    <title>Page</title>
</head>
<body>
<h1>Page.html</h1>
</body>
</html>

Asp.Net 認証

2008/02/28 § コメントする

やっと認証がまとまった。

正直よくわかってなかったので、すっきりできてよかった。

いい機会だったんだな。

windows認証

フォーム認証

パスポート認証

がある。

パスポート認証は調べなくていいや

http://www.atmarkit.co.jp/fdotnet/aspnet/aspnet17/aspnet17_01.html

●認証 Authentication

ユーザがアクセス権を持つユーザ本人であるか確認する。プロセス。

windows認証

windowsのアカウントで認証する。独自にユーザ管理の仕組みをつくらなくていい。

IISで認証をかけてしまうから、ASP.NETページにアクセスがあったときにはすでに認証済み。

認証プロトコルには

・基本認証

・ダイジェスト認証

・windows統合認証

がある。

ファイルなどのリソースへのアクセスする時に認証したWindowsアカウントのACLがチェックされる。

ASP.NETアプリのためにWindowsアカウントを作るのはよくない

イントラネット向け

フォーム認証

自分で認証を作るのだけど、ASP.NETのサポートが充実している。

IIS認証は匿名アクセスにする。

＊偽装

web.configの

configuration/system.web/identity/@impersonate

をtrueにすると、ユーザが偽装され、IISによって認証されたユーザとしてコードが実行される。

フォーム認証では通常匿名アクセスなのでIUSER_XXX（インターネットゲストアカウント）としてコードが実行されるようになる。（これは意味がない）

windows認証だと、WindowsのユーザとしてIISに認証され、コードもWindowsのユーザとして実行されるため便利。

＊ただし、偽装を有効にした場合には偽装するユーザがASP.NETのテンポラリディレクトリを読み書きできるようにACLの設定を行う必要がある。

●認定 Authorization

ファイルなどのリソースへのアクセスの可否の確認。

ファイル認定

Windows認証を使っているときだけ使える。

Windows認証にすれば自動的に有効化される。

ファイルなどのリソースへのアクセスする時に認証したWindowsアカウントのACLがチェックされる。

ファイルへのアクセス時に認証したWindowsアカウントでアクセスするわけではない。

アクセスするのはあくまでASPNETアカウント（XPなら、2003はNetwork Service）。

単に認証したWindowsアカウントのACLでチェックをかけるだけ。

URL認定

URLでのアクセス制御

web.configの

configuration/system.web/authorization

で指定。

authorizationで指定すると、web.configのあるディレクトリとそのサブディレクトリに適用される。

サブディレクトリのweb.configで違う設定があればそちらが優先。

?は非認証ユーザを表す。

rolesでロールでの指定もできる。

roleはWindows認証であればWindowsアカウントのグループになる。

フォーム認証でもroleの指定ができるがこちらは自分で管理。

例.

<authorization>
<allow users="user1" />
<deny users="*" />
</authorization>
<authorization>
<deny users="?" />
</authorization>
<authorization>
<allow roles="DomainName\SampleGroup" />
<deny users="*" />
</authorization>
<authorization>
<allow roles="admin" />
<deny users="*" />
</authorization>

Asp.Net ViewStateのセキュリティ

2008/02/27 § コメントする

いつの間にかViewStateのセキュリティを調べてた。

えーと確か。。。

１．受信フィルタパターンを読んでて、HttpApplicationにAuthenticateRequestとAuthorizeRequestというイベントが出てきた。

↓

２．AuthenticateRequestとAuthorizeRequestがいつ発生するのかよくわからない。

↓

３．ASP.NETの認証回りをしらないからわかんないんだろうと判断。

↓

４．認証を調べだす。

↓

５．どこかで迷路に迷い込む。

↓

６．ViewStateのセキュリティについてまとた。←いまココ

４と５の間に何があったのやら。

ViewStateには改ざん対策としてSHA1のハッシュ値がチェックサムとして付加されている。

下記の鍵付きハッシュを使っていない場合、シリアライズされたデータがBase64になってるだけだし、ハッシュ値は誰でも計算できるので安全ではない。

安全対策　その１　鍵付きハッシュにする（MAC エンコーディング）　たぶんデフォルトはここ。

サーバ上に保存された秘密鍵をデータにつけてハッシュを計算する

改ざんの検知はできるけど、再送攻撃（同じデータを送ってしまう）、データの解読はできる。

各ページのPageディレクティブのEnableViewStateMacをtrueに、もしくはweb.configの

configuration/system.web/pages/@enableViewStateMac

をtrueにすると有効になる。

安全対策　その２　ViewStateの暗号化

viewstateを暗号化する。

デフォルトで使用される秘密鍵はサーバごとに異なるため、webファーム構成にするなら各ノードの秘密鍵をそろえておくこと。

そうしなければ他のサーバにポストバックしたときにセキュリティエラーとなってしまう。

web.configの

configuration/system.web/machineKey/@validation

で暗号化アルゴリズムを指定

configuration/system.web/machineKey/@validationKey

で暗号化のキーを指定

http://www.atmarkit.co.jp/fdotnet/entwebapp/entwebapp03/entwebapp03_04.html

また、各ページのPageディレクティブのViewStateEncryptionMode、もしくはweb.configの

configuration/system.web/pages/@viewStateEncryptionMode

で暗号化のモードを選択する。

＊Pageディレクティブの設定はweb.configの設定をOverrideする。

Always：ビューステートを常に暗号化します。

Auto：コントロールが要求した場合に、ビューステートを暗号化します。

Never：コントロールが要求した場合でも、ビューステートを暗号化しません。

安全対策　その３　ユーザ固有情報の付加

http://msdn2.microsoft.com/ja-jp/library/ms178199(VS.80).aspx

http://www.microsoft.com/japan/msdn/net/aspnet/securitybarriers.aspx#securitybarriers_topic2

暗号化しても再送攻撃、ワンクリック攻撃には弱い。

ハッシュ計算、暗号化をしても、データの書き換え、読み込みはできないが、そのデータが誰のものであるかは認識できない。

このため、

あるユーザ向けに出力されたviewStateを別のユーザがサーバに再送した場合、正常なViewStateと認識されてしまう。

ViewStateUserKeyにユーザ固有情報（ログイン名、セッションID）を含めることでこれを回避できる。

Page_InitメソッドでViewStateUserKeyにユーザ固有情報を設定すれば、viewstateの復元時に、asp.netが

ViewStateとViewStateUserKeyのつき合わせをやって、ずれていれば例外にしてくれる。

void Page_Init (object sender, EventArgs e) {

ViewStateUserKey = Session.SessionID;

}

としておくだけでいい。（たぶん）

規定値

●EnableViewStateMac

@Pageディレクティブ：false

http://msdn2.microsoft.com/ja-jp/library/950xf363(VS.80).aspx

web.config：true

http://msdn2.microsoft.com/ja-jp/library/system.web.ui.page.enableviewstatemac.aspx

●configuration/system.web/machineKey/@validation

web.config：SHA1

http://msdn2.microsoft.com/ja-jp/library/w8h3skw9(VS.80).aspx

●configuration/system.web/machineKey/@validationKey

web.config：AutoGenerate,IsolateApps

http://msdn2.microsoft.com/ja-jp/library/w8h3skw9(VS.80).aspx

●ViewStateEncryptionMode

@Pageディレクティブ：Auto

http://msdn2.microsoft.com/ja-jp/library/system.web.ui.page.viewstateencryptionmode.aspx

web.config：Auto

http://msdn2.microsoft.com/ja-jp/library/950xf363(VS.80).aspx

Asp.Netエンタープライズソリューションパターン　その３　フロントコントローラ

2008/02/25 § コメントする

その３。

こんどはフロントコントローラ。

ASP.NETは全力でページコントローラを支援している感じなので、あえてフロントコントローラにするメリットは薄そうな気がする。

大規模なサイトなんか作ったことないからそう思うのかなぁ。

18:47

さて、3回目。ピッチを上げなくては。

とりあえず本を読むか。

18:49

ページコントローラではなく、フロントコントローラにしたくなる動機。

●ページコントローラのベースクラスが複雑化してきた。

ロジックの複雑化。

継承関係が深くなる。

＊リクエストを検証し、パラメタによってぺージを遷移させるようなことはページコントローラの基本クラスでするべきではない。

すべてのページに共通の処理ではないから。ページコントローラの基本クラスでは全ページでの共通機能を書く。

●アクションやナビゲーションを外部ファイルで構成

ページコントローラではリテラルで埋めることになりがち？？

＊すべてのページに特定のアクションを適用するのが困難って書いてあるけど、これはページコントローラでも解決できるやろ。

URLとコントローラ。。。メリットわからん。

実装概要

ハンドラ：リクエストからパラメタを取得

↓

コマンド：パラメタに対応したコマンドの実行。コマンド実装後、適切なビューに要求を転送

↓

ビュー：HTMLの構築

19:09

.Netでの実装部分に入った。

19:24

実装内容をざっと読んだ。

なるほど。実行するアクションはcookieかQueryString、formかどっかに入ってて、その後の遷移先のページはUrlからマッピングするという方針らしい。

処理後に移動するページはコマンド内で決めた方がいいんじゃないか？

コマンドのアクションを実行してみないと移動先がわかんないことがありそう。

たとえば注文のエントリの内容によって、クレジット番号いれさすページに行くか、それをスキップするか、とか。。。

まぁ、遷移先のページをUrlからMapするのはRedirectingCommandの挙動だから、ヤなら違うのつくればいいということ。

19:32

本で使ってるIHttpHandlerは同期。

IHttpAsyncHandlerもあって、こっちは非同期。

IHttpAsyncHandlerを調べる。

19:50

ググったがあんまり日本語の情報が引っかからない。

あえてIHttpAsyncHandlerでやるか。

http://codezine.jp/a/article/aid/1081.aspx?p=2

http://www.ailight.jp/blog/kazuk/articles/6312.aspx

19:51

実装を始めよ。

・IHttpAsyncHandlerを使う。

・マスタページも使う。

くらいが目標でいいか。