用好VS2005之扩展membership服务

三、密码问题。

　　个人觉得密码是一个比较头疼的问题。我们在实际开发中总是需要admin组有对用户进行密码修改的权限。Membership提供的修改密码方法只能在已经知道密码提示答案的时候才能修改。而admin组根本不可能知道用户的密码提示答案的。这里有点好笑。难道是中西方文化差异？

　　列出个人对membership密码研究的一些心得。

　　大家都知道machine.config和web.config,如果两者发生冲突，那么以web.config优先。

　　默认状态下，membership是采用SHA1的方法进行加密，然后采取一种机制，与passwordsalt进行再次加密，最后形成数据库中显示的密码。可见随着MD5加密的破解，微软对密码的安全也煞费苦心。

　　有的朋友不喜欢默认的SHA1加密形式，我们只需要在web.config中设置以下代码来覆盖machine.config中对密码的设置就好了：

＜machineKey validationKey="AutoGenerate,IsolateApps" decryptionKey="AutoGenerate,IsolateApps" decryption="Auto" validation="MD5/SHA1/Clear" /＞

　　其中：

　　Clear - 密码以明文形式存储。用户密码可与此值直接比较，而不需要进行进一步的转换。

　　MD5 -使用消息摘要 5 (MD5) 哈希摘要存储密码。为了验证凭据，将使用 MD5 算法对用户密码进行哈希运算并将计算出来的值与存储的值进行比较。使用此值时，从不存储或比较明文密码。此算法的性能比 SHA1 好。

　　SHA1 -使用 SHA1 哈希摘要存储密码。为了验证凭据，将使用 SHA1 算法对用户密码进行哈希运算并将计算出来的值与存储的值进行比较。从不存储明文密码。使用该算法可以获得比 MD5 算法高的安全性。

　　然而虽然MembershipUser提供了GetPassword 方法，但是这是后只有在加密形式设置成Clear,即密码在数据库中以明码的形式存在，才能得到密码。而ChangePassword必须要提供旧密码或者密码提示答案才可以修改。对用户管理造成了很大的不便。找了许多资料无解。顺便提带一下：微软的membership机制起源于csblog,并进行了一定的修改。

　　Csblog对密码的策略：首先对用户输入的密码进行加密（SHA1或者MD5）,然后根据系统自动生成的密匙再次对加密后的密码进行DES加密。不过我按照csblog 的方法进行加密的时候，形式相同，密码却不同，目前正在演就中。也欢迎大家共同讨论。

　　如果passwordsalt和password固定，那么用户密码肯定一定。所以目前我采取的一个方法就是给用户重新设置成固定密码的功能。

　　首先取得已知用户密码的passwordsalt和password,然后替换相应用户的passwordsalt和password字段。这时，用户的密码就已经恢复成已知的密码了。

　　不可否认，membership给我们开发中创造了很大的便利，其方便的Roles功能，对于我们进行权限管理的时候提供了很好的解决方案。2005许多功能均进化自csblog这优秀的开源项目,有兴趣者可以研究csblog,以进一步的了解membership的运作机制。限于篇幅，MSDN上边有做介绍的我就不再重复叙述。只介绍MSDN上没有列出的技巧跟我在项目开发中的一些心得。 ASP.NET 2.0为使用窗体身份验证的Web站点提供了重要的安全性优势。通过提供用户配置文件储备库以及对角色的支持，窗体身份验证将走出ASP.NET内行的视野，而得以更广泛地实现。

查看本文来源