Hạn sử dụng mật khẩu thành viên ASP.NET

Question

Tôi đang sử dụng tư cách thành viên ASP.NET để xác thực ứng dụng web của mình. Nó hiệu quả tuyệt vời đối với tôi. Bây giờ tôi phải thực hiện hết hạn mật khẩu.

Nếu mật khẩu đã hết hạn, người dùng sẽ được chuyển hướng đến màn hình ChangePassword và không được phép truy cập vào bất kỳ phần nào khác của ứng dụng mà không thay đổi mật khẩu.

Có nhiều trang aspx. Một giải pháp có thể là chuyển hướng đến màn hình ChangePasswordOnInit của mọi aspx nếu mật khẩu đã hết hạn. Có bất kỳ giải pháp hoặc đề xuất nào khác không.

Cảm ơn, Jai

Answer 1

Bạn có thể thêm một event handler cho sự kiện HttpApplication.PostAuthenticateRequest trong global.asax và xử lý chuyển hướng đó.

Answer 2

Chỉ cần triển khai trong khoảng một giờ, không cần sửa đổi trang cơ sở của bạn. Heres những gì bạn phải làm:

1. Respond to sự kiện LoggingIn của điều khiển thành viên

2. Tìm người dùng trong cơ sở dữ liệu thành viên và nhận được LastPasswordChangedDate

3. Sử dụng một TimeSpan, so sánh điều này với ngày hiện tại và quyết định xem mật khẩu được thay đổi lần cuối nhiều hơn số ngày cần thiết của ngày trước. Tôi nhận được giá trị này từ web.config

4. Nếu hết hạn, chuyển hướng đến màn hình ChangePassword

Answer 3

Tiếp tục để csgero's answer, tôi thấy rằng bạn không cần phải thêm một cách rõ ràng một event handler cho sự kiện này trong ASP.Net 2.0 (3.5).

Bạn có thể dễ dàng tạo ra các phương pháp sau đây trong global.asax và nó được dây lên cho bạn:

void Application_PostAuthenticateRequest(object sender, EventArgs e) 
{ 
    if (this.User.Identity.IsAuthenticated) 
    { 
     // get user 
     MembershipUser user = Membership.GetUser(); 

     // has their password expired? 
     if (user != null 
      && user.LastPasswordChangedDate.Date.AddDays(90) < DateTime.Now.Date 
      && !Request.Path.EndsWith("/Account/ChangePassword.aspx")) 
     { 
      Server.Transfer("~/ChangePassword.aspx"); 
     } 
    } 
} 

Answer 4

Tiếp tục để Andrew's answer, tôi thấy bạn cần phải kiểm tra mà người dùng không phải là đã có trên trang thay đổi mật khẩu, hoặc họ sẽ không bao giờ có thể thực sự thay đổi mật khẩu của họ, và do đó không bao giờ rời khỏi trang web thay đổi mật khẩu:

void Application_PostAuthenticateRequest(object sender, EventArgs e) 
    { 
     if (this.User.Identity.IsAuthenticated) 
     { 
      // get user 
      MembershipUser user = Membership.GetUser(); 

      // has their password expired? 
      if (user != null 
       && user.LastPasswordChangedDate.AddMinutes(30) < DateTime.Now 
       && !Request.Path.EndsWith("/Account/ChangePassword.aspx")) 
      { 
       Server.Transfer("~/Account/ChangePassword.aspx"); 
      } 
     } 
    } 

Answer 5

tôi đã ở đây tìm kiếm một giải pháp cho điều này, nhưng công nghệ hiện tại của tôi là ASP.NET MVC. Vì vậy, để giúp đỡ người khác: bạn có thể kéo dài tuổi AuthorizeAttribute, và ghi đè OnAuthorization phương pháp, như thế này:

public class ExpiredPasswordAttribute : AuthorizeAttribute 
{ 
    public override void OnAuthorization(AuthorizationContext filterContext) 
    { 
     IPrincipal user = filterContext.HttpContext.User; 

     if(user != null && user.Identity.IsAuthenticated) 
     { 
      MembershipUser membershipUser = Membership.GetUser(); 

      if (PasswordExpired) // Your logic to check if password is expired... 
      { 
       filterContext.HttpContext.Response.Redirect(
        string.Format("~/{0}/{1}?{2}", MVC.SGAccount.Name, MVC.SGAccount.ActionNames.ChangePassword, 
        "reason=expired")); 

      } 
     } 

     base.OnAuthorization(filterContext); 
    } 
} 

Lưu ý: Tôi sử dụng T4MVC để lấy Controller và Tên hành động trong đoạn code trên.

Đánh dấu tất cả bộ điều khiển có thuộc tính này ngoại trừ "AccountController". Làm như vậy, không người dùng nào có mật khẩu đã hết hạn sẽ có thể lướt trang web.

Dưới đây là một bài tôi đã làm về đề tài này với một số điểm thưởng:

User Password Expired filter attribute in ASP.NET MVC

Answer 6

tôi đã sử dụng mã từ trên cao và chỉ có chút thay đổi nó để thực hiện trong Asp.NET (4.5) MVC5 sử dụng. Nhà cung cấp nhận dạng NET. Chỉ cần để nó ở đây cho anh chàng/cô gái tiếp theo :)

void Application_PostAuthenticateRequest(object sender, EventArgs e) 
    { 
     if (this.User.Identity.IsAuthenticated) 
     { 
      WisewomanDBContext db = new WisewomanDBContext(); 

      // get user 
      var userId = User.Identity.GetUserId(); 
      ApplicationUser user = db.Users.Find(userId); 

      // has their password expired? 
      if (user != null && user.PasswordExpires <= DateTime.Now.Date 
       && !Request.Path.EndsWith("/Manage/ChangePassword")) 
      { 
       Response.Redirect("~/Manage/ChangePassword"); 
      } 

      db.Dispose(); 
     } 
    }