< authentication mode = " Forms " >
< forms loginUrl = " Login.aspx " />
</ authentication >
< authorization >
< deny users = " ? " />
</ authorization >

接下來在要保護(hù)的文件夾里放一個(gè) web.config ，要注意的是，這個(gè)子文件夾里的 web.config 的實(shí)際內(nèi)容不能像根目錄下的那個(gè)一樣多，否則就會(huì)出現(xiàn) “ 配置錯(cuò)誤 ” ，提示 “ 在應(yīng)用程序級(jí)別以外使用注冊(cè)為 allowDefinition='MachineToApplication' 的節(jié)是錯(cuò)誤的。導(dǎo)致該錯(cuò)誤的原因可能是在 IIS 中沒有將虛擬目錄作為應(yīng)用程序進(jìn)行配置。 ” 具體應(yīng)該怎么做我也不清楚，總之這個(gè) web.config 只要有下面的內(nèi)容就 ok 了。

< configuration >
< system.web >
< authorization >
<!-- 設(shè)置準(zhǔn)許訪問此文件夾的角色和拒絕的角色，這里準(zhǔn)許管理員，老師訪問，拒絕學(xué)生訪問 -->
< allow roles = " admin " />
< allow roles = " teacher " />
< deny roles = " student " />
<!-- 前提是拒絕匿名用戶 !-->
< deny users = " ? " />
</ authorization >
</ system.web >
</ configuration >

當(dāng)然也可以在 頂層 web.config 文件中完成所有的 url 授權(quán)，而不是把它們分在各自目錄下的 web,config 文件中。 asp.net 也支持這種做法。下面這個(gè) web,config 文件，放在應(yīng)用程序根目錄下。
如下：此設(shè)置是保護(hù)admin文件夾下的內(nèi)容，拒絕匿名用戶訪問

< location path = " admin " >
< system.web >
< authorization >
< deny users = " ? " ></ deny >
</ authorization >
</ system.web >
</ location >

好了，設(shè)置完了，下面就開始為我們的窗體驗(yàn)證寫代碼了
有兩種方式，第一種，當(dāng)網(wǎng)站的用戶不是很多的時(shí)候，可以 把用戶和密碼放到 web.config 里。辦法就是在根目錄下的 web.config 文件中加入一個(gè) credentials 節(jié)，里面寫上用戶名和密碼，這個(gè)是包含在 forms 節(jié)里面的。
如下所示：

< authentication mode = " Forms " >
< forms loginUrl = " login.aspx " >
< credentials passwordFormat = " Clear " >
< user name = " admin " password = " admin " />
</ credentials >
</ forms >
</ authentication >

在此種情況下 配合使用 System.Web.Security.FormsAuthentication.Authenticate(string name,string password) 驗(yàn)證 credentials 節(jié)中 指定的用戶名和密碼，存在就返回 true。

下面著重介紹第二種方法，通過數(shù)據(jù)庫(kù)讀取用戶名密碼進(jìn)行驗(yàn)證。
1:首先在數(shù)據(jù)庫(kù)里建立三張表: Users(UserID,UserName,UserPwd)---存放用戶信息
Roles(RoleID,RoleName)------存放角色名稱
User_Role(UserID,RoleID)-----用戶和角色的中間表，使頭兩張表成為多對(duì)多關(guān)系

2:然后在登陸頁面的登陸按鈕點(diǎn)擊事件中加入如下邏輯

if (Page.IsValid)
{
if (Users.Authenticate(txtUsername.Text, txtPassword.Text)) // 數(shù)據(jù)庫(kù)驗(yàn)證方法，代碼略
{
// 驗(yàn)證后導(dǎo)向初始頁
FormsAuthentication.RedirectFromLoginPage( txtUsername.Text, chkRemember.Checked ;
}
}

在此也可以用 FormsAuthentication.SetAuthCookie(email.Text, RememberCheckbox.Checked);該 方法不進(jìn)行頁面導(dǎo)向，而是停留在本頁，然后由自己選擇導(dǎo)向的頁面。

3：然后就要用到global.asax文件下的 Application_AuthenticateRequest 事件了，此事件在每次訪問 aspx 文件都會(huì)觸發(fā)。
在其中加入如下代碼，功能見注釋 :

protected void Application_AuthenticateRequest(Object sender, EventArgs e)
{

if (Request.IsAuthenticated == true ) // 如果驗(yàn)證了用戶,則為 true,否則為 false
{
String[] roles;
// 首次登陸，還沒有存入角色cookies
if ((Request.Cookies[ " userlroles " ] == null ) || (Request.Cookies[ " userlroles " ].Value == "" ))
{
// 此時(shí)調(diào)用方法，訪問數(shù)據(jù)庫(kù)中的記錄獲得用戶角色，并存入cookies
roles = (String[]) Users.GetRoles(User.Identity.Name).ToArray( typeof (String));
String roleStr = "" ;
foreach (String role in roles) // 一個(gè)用戶會(huì)有多種角色，以一個(gè)字符串表示，用;隔開
{
roleStr += role;
roleStr += " ; " ;
}
// 創(chuàng)建cookies票據(jù)
FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(
1 , // 版本
Context.User.Identity.Name, // 登陸時(shí)候存入的標(biāo)識(shí)用戶的用戶名
DateTime.Now, // 發(fā)布時(shí)間
DateTime.Now.AddHours( 1 ), // 過期時(shí)間
false , // 是否持久
roleStr // 角色字符串
);

// 加密票劇
String cookieStr = FormsAuthentication.Encrypt(ticket);
// 發(fā)送到客戶端，起名userroles
Response.Cookies[ " userroles " ].Value = cookieStr; // 必須加密
Response.Cookies[ " userroles " ].Path = " / " ;
Response.Cookies[ " userroles " ].Expires = DateTime.Now.AddMinutes( 1 );
}
else
{
// 已存在，讀取，解密
FormsAuthenticationTicket ticket = FormsAuthentication.Decrypt(Context.Request.Cookies[ " userroles " ].Value);
// 把角色字符添加到list里
ArrayList userRoles = new ArrayList();
foreach (String role in ticket.UserData.Split( new char [] { ' ; ' } ))
{
userRoles.Add(role);
}
roles = (String[]) userRoles.ToArray( typeof (String));
}
// 把此用戶的角色存到內(nèi)存中，可以運(yùn)用User.IsInRole()方法進(jìn)行檢驗(yàn)用戶角色
// 也可以使用實(shí)現(xiàn)IPrincipal接口的類，自定義賦值給Context.User
Context.User = new GenericPrincipal(Context.User.Identity, roles);
}
}

4：然后添加讀取驗(yàn)證用戶是否存在的訪問數(shù)據(jù)庫(kù)代碼，和獲得用戶角色的代碼。
詳細(xì)碼略，這里主要爭(zhēng)對(duì)三張表寫出獲得用戶角色的存儲(chǔ)過程

CREATE PROCEDURE User_GetUserRolesByUsername
(
@Username nvarchar( 50 )
)
AS
select Roles.RoleName
from Roles
join Users on Users.Username = @Username
join User_Role on User_Role.UserID = Users.UserID
where Roles.RoleID = User_Role.RoleID
GO

至此，我們就完成了一般性的asp.net窗體驗(yàn)證的功能。
下面著重介紹第二種方法，通過數(shù)據(jù)庫(kù)讀取用戶名密碼進(jìn)行驗(yàn)證。
1:首先在數(shù)據(jù)庫(kù)里建立三張表: Users(UserID,UserName,UserPwd)---存放用戶信息
Roles(RoleID,RoleName)------存放角色名稱
User_Role(UserID,RoleID)-----用戶和角色的中間表，使頭兩張表成為多對(duì)多關(guān)系

2:然后在登陸頁面的登陸按鈕點(diǎn)擊事件中加入如下邏輯

if (Page.IsValid)
{
if (Users.Authenticate(txtUsername.Text, txtPassword.Text)) // 數(shù)據(jù)庫(kù)驗(yàn)證方法，代碼略
{
// 驗(yàn)證后導(dǎo)向初始頁
FormsAuthentication.RedirectFromLoginPage( txtUsername.Text, chkRemember.Checked ;
}
}

在此也可以用 FormsAuthentication.SetAuthCookie(email.Text, RememberCheckbox.Checked);該 方法不進(jìn)行頁面導(dǎo)向，而是停留在本頁，然后由自己選擇導(dǎo)向的頁面。

3：然后就要用到global.asax文件下的 Application_AuthenticateRequest 事件了，此事件在每次訪問 aspx 文件都會(huì)觸發(fā)。
在其中加入如下代碼，功能見注釋 :

protected void Application_AuthenticateRequest(Object sender, EventArgs e)
{

if (Request.IsAuthenticated == true ) // 如果驗(yàn)證了用戶,則為 true,否則為 false
{
String[] roles;
// 首次登陸，還沒有存入角色cookies
if ((Request.Cookies[ " userlroles " ] == null ) || (Request.Cookies[ " userlroles " ].Value == "" ))
{
// 此時(shí)調(diào)用方法，訪問數(shù)據(jù)庫(kù)中的記錄獲得用戶角色，并存入cookies
roles = (String[]) Users.GetRoles(User.Identity.Name).ToArray( typeof (String));
String roleStr = "" ;
foreach (String role in roles) // 一個(gè)用戶會(huì)有多種角色，以一個(gè)字符串表示，用;隔開
{
roleStr += role;
roleStr += " ; " ;
}
// 創(chuàng)建cookies票據(jù)
FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(
1 , // 版本
Context.User.Identity.Name, // 登陸時(shí)候存入的標(biāo)識(shí)用戶的用戶名
DateTime.Now, // 發(fā)布時(shí)間
DateTime.Now.AddHours( 1 ), // 過期時(shí)間
false , // 是否持久
roleStr // 角色字符串
);

// 加密票劇
String cookieStr = FormsAuthentication.Encrypt(ticket);
// 發(fā)送到客戶端，起名userroles
Response.Cookies[ " userroles " ].Value = cookieStr; // 必須加密
Response.Cookies[ " userroles " ].Path = " / " ;
Response.Cookies[ " userroles " ].Expires = DateTime.Now.AddMinutes( 1 );
}
else
{
// 已存在，讀取，解密
FormsAuthenticationTicket ticket = FormsAuthentication.Decrypt(Context.Request.Cookies[ " userroles " ].Value);
// 把角色字符添加到list里
ArrayList userRoles = new ArrayList();
foreach (String role in ticket.UserData.Split( new char [] { ' ; ' } ))
{
userRoles.Add(role);
}
roles = (String[]) userRoles.ToArray( typeof (String));
}
// 把此用戶的角色存到內(nèi)存中，可以運(yùn)用User.IsInRole()方法進(jìn)行檢驗(yàn)用戶角色
// 也可以使用實(shí)現(xiàn)IPrincipal接口的類，自定義賦值給Context.User
Context.User = new GenericPrincipal(Context.User.Identity, roles);
}
}

4：然后添加讀取驗(yàn)證用戶是否存在的訪問數(shù)據(jù)庫(kù)代碼，和獲得用戶角色的代碼。
詳細(xì)碼略，這里主要爭(zhēng)對(duì)三張表寫出獲得用戶角色的存儲(chǔ)過程

CREATE PROCEDURE User_GetUserRolesByUsername
(
@Username nvarchar( 50 )
)
AS
select Roles.RoleName
from Roles
join Users on Users.Username = @Username
join User_Role on User_Role.UserID = Users.UserID
where Roles.RoleID = User_Role.RoleID
GO

至此，我們就完成了一般性的asp.net窗體驗(yàn)證的功能。