摘要：本文ASP.NET應用程序授權的概念，介紹了各種授權模式并進行了比較，闡述了選擇授權模式的機制。


關鍵字：授權 authorization ASP.NET WEB應用


1.1. 授權概念
任何成功的應用程序安全策略的基礎都是穩固的身份驗證和授權手段，以及提供機密數據的保密性和完整性的安全通訊。
授權（authorization）過程負責控制通過了身份驗證的客戶端可以訪問哪些資源，以及可以執行哪些操作。可訪問的資源既包括文件、數據庫等，還包括系統級的資源，如注冊表，配置數據等。
許多WEB程序不是直接授權客戶訪問底層的資源，而是通過方法（method）來授權客戶端所能夠執行的操作。這樣做的主要原因是考慮到應用系統的可伸縮性和可管理性。 圖1列出了各種安全技術以及每種技術所提供的主要授權方式。

2. 2. 授權方式
如圖1所示，Windows 2000上的.NET框架上提供了以下幾種授權方式：

ASP.NET授權
Enterprise Services授權
SQL Server授權
2.1 ASP.NET授權
2.1.1 URL授權
這是一種通過計算機的設置和應用程序配置文件來配置的授權機制。URL授權允許限制用戶訪問位于應用程序URI命名空間中的特定文件和文件夾。

2.1.2 文件授權
可以使用此方法來限制對某個WEB服務器上指定文件的訪問。訪問權限由與文件相關的Windows ACL所確定。

2.1.3 主體權限請求
主體權限請求（Principal Permission Demand）可以通過聲明方式或是編程方式作為一種額外的精確的訪問控制機制。這種方式允許你根據單個用戶的身份標識組成員關系，來限制對類、方法或單獨代碼的訪問。

2.1.4 .NET角色
.NET角色用于將應用程序中具有相同權限的用戶分成一組。這種方式可以和基于票證的身份驗證方案（如窗體身份驗證）一起使用，可以通過聲明方式或是編程方式來配置對資源和操作的訪問。

2.2 Enterprise Services授權
在Enterprise Services的應用程序中，由Enterprise Services 角色的成員關系來控制客戶端訪問包含于服務器組件的功能。這些角色和.NET角色不同，而且可以包含Windows組帳戶或用戶帳戶。角色成員關系是在COM+目錄中定義的，而且通過組件服務（Component Service）工具管理。

2.3 SQL Server授權
SQL Server支持精確授權，這些權限可以應用于單獨的數據庫對象。權限既可以基于角色成員關系，也可以授予單獨的Windows用戶帳戶或組帳戶。

3. 選擇授權策略
ASP.NET應用程序有兩種基本的權限策略：基于角色的授權和基于資源的授權。
3.1 基于角色的授權
對操作的訪問通過調用者的角色成員關系，提供安全保護。角色可以將應用程序的用戶群劃分為具有相同安全權限的用戶組。用戶被映射到角色，而且如果某個用戶被授權執行所請求的操作，則應用程序可以用固定的標識來訪問資源。這些標識被各自的資源管理器（如數據庫和文件系統）所信任。

3.23.2 基于資源
單獨的資源使用Windows ACL來提供安全保護。應用程序在訪問資源之前模擬（impersonate）調用者，這樣可以使操作系統執行標準的訪問檢查。所有對資源的訪問都是使用原始調用者的安全上下文。這種模擬方式在應用程序的中間層連接池不能被有效使用，因而影響了應用程序的可伸縮性。

4. 角色的授權的模式
在大多數可伸縮性至關重要的.NET WEB應用程序，使用基于角色的授權方式是最佳選擇。常用的模式如下：

在前端Web應用程序中對用戶進行驗證
將用戶映射到角色
根據角色成員關系來授權對操作（不是直接對資源）的訪問
使用固定的服務標識來訪問必要的后端資源。
一個典型的具體實現步驟如下：：
獲取憑據信息
驗證憑據信息
將用戶添加到角色中
創建一個IPrincipal對象
將IPrincipal對象放置到當前的HTTP上下文中
根據用戶標識/角色成員關系進行授權
實現的代碼參見《ASP.NET應用程序的安全方案（