asp.net中的窗体身份验证（完整篇之附录：web.config中相应节点详解）
要使用asp.net窗体身份验证，要做的第一件事就是修改web.config文件。
首先，必须要修改
然后，在
第三，如果在
第四，在
下面，分 别介绍asp.net窗体身份验证中涉及到的web.config文件中的几个节点。
第一、
asp.net的身份验证方式由web.config文件中的
- 如果mode属性值为Windows，那说明使用Windows验证方式，该方式可以与IIS的身份验证方式结合起来使用。
- 如果mode属性值为Forms，则使用窗体的身份验证方式，常用的输入用户名和密码的验证方式就是这一种。
- 如果mode属性值为Passport，则使用微软的Passport Network身份验证方式，这是基于角色的一种验证方式。
- 如果mode属性值为None则不指定任何身份验证。
要使用窗体身份验证，mode的属性值必须为Forms。
第二、
设置完
- loginUrl：该属性值可以指定用于登录的网页的URL，如果没有添加该属性，则默认的登录网页为根目录下的login.aspx页面。
- timeout：该属性值可以指定身份验证的超时时间，也就是登录多久后认为登录超时。该属性的默认值为30，单位为分钟。
- name、path、domain、requireSSL、cookieless：这几个属性都是与cookie相关的属性，由于asp.net会使用Cookie来存取身份验证票据，所以对Cookie的设置就相当重要了。
- 首先，name属性用于指定存储身份验证票据的Cookie的名称，默认值为“.ASPXAUTH”，通常是不需要进行设置的，但如果一台服务器上有多个应用程序都要进行身份验证，并且每个应用程序都需要惟一的Cookie时，就必须要设置该属性值了。
- 其次，path属性用于指定Cookie的路径，默认值为“/”，通常也会将其设为“/”，将Cookie放在网站的根目录下，这样在整个网站中都可以使用该Cookie（这是由Cookie的属性决定的，在默认情况下，一个网页创建的Cookie，只有该网页同级目录和子目录下的网页才能访问该Cookie，如果要想让其它网页也能访问该Cookie，就必须要设置Cookie的path属性）。
- 第三，domain属性用于指定Cookie的域。domain的设置可以扩大Cookie的访问范围，可以让Cookie跨域访问。假设http://www.aspxfans.com/中创建的Cookie如果想让http://book.aspxfans.com/中的网页访问，就必须要设置Cookie的domain。该属性的默认值为空字符串。
- 第四，requireSSL属性用于声明Cookie的安全性，通常情况下，Cookie使用明码的传递方式，而这种传递方式是最容易让别人监听和截取的。如果requireSSL属性值为true，那么Cookie将不能在HTTP协议中传递了，而是必须在SSL加密的HTTPS协议中传递。但该值通常为false，因为很多网站都不支持使用HTTPS协议，尤其是使用虚拟主机的网站。也许有人会问，那Cookie岂不是很不安全了？事实上 并非如此，你可以将数据加密后再存入Cookie中，这样即使是别人获得了你Cookie中的内容，也不过是一堆乱码。
- 第五，cookieless属性，前面说过，如果用户浏览器不支持Cookie，asp.net也可以身份验证票据放在URL中传递，该属性就是用于设置身份验证票据的传递方式。该属性一共有四个属性值，如果属性值为“UseCookies”，则强制使用Cookie来传递身份验证票据。如果属性值为“UseUri”，则强制使用URL来传递身份验证票据。如果属性值为“UserDeviceProfile”或“AutoDetect”则自动检测浏览器是否支持Cookie，如果浏览器支持Cookie则使用Cookie传递身份验证票据，如果浏览器不支持Cookie则使用URL传递身份验证票据，但“AutoDetect”属性值是通过一个动态的检测机制来判断浏览器是否支持Cookie。通常使用“UseDeviceProfile”。
- defaultUrl：网站的缺省页面，通常为网站的首页地址。如果用户直接进入了登录页面，并在登录页面登录之后，可以使用FormsAuthentication.RedirectFromLoginPage()方法可以跳转到该网页。默认值为default.aspx。
- slidingExpiration：该属性用于设置是否执行可变的会话生存期，如果为true，那么只要用户在网站上有活动状态，asp.net就会自动改变用户的会话超时时间，假设timeout属性值为20，那么只有用户在没有任何活动状态的20分钟后，才会超时（具体执行起来可能不到20分钟，因为asp.net并不会每次都重置用户的会话超时时间）。如果该属性值为false，那么就是从用户登录开始，无论用户是否处于活动状态，20分钟后都会超时。该属性通常为true。
- protection：设置Cookie的加密类型。前面说过，在不能使用HTTPS协议时，Cookie一般都是通过明码传递的，因此，Cookie内容必须要进行加密。该属性可以设置Cookie加密的类型，该属性值可以为“All”、“Encryption”、“None”或“Validation”。这四个属性值的区别为：
- All：对Cookie同时使用数据验证和加密方法，其中数据验证算法由
节点中设置，该节点为 节点的子节点。该值为默认值。 - Encryption：不加密和验证Cookie，不建议使用，但该属性是资源占用最小的属性值。
- None：使用3DES或DES对Cookie进行加密，但不对Cookie进行数据验证。这种方式可能会受到攻击。
- Validation：使用指定验证方案验证已加密的Cookie是否被更改。
- All：对Cookie同时使用数据验证和加密方法，其中数据验证算法由
- enableCrossAppRedirects：该属性用于说明是否将通过身份验证的用户重新定向到其它Web应用程序的URL中。该属性的默认值为false。
第三、
如果
- decryption：该属性用于说明对数据进行解密算法，属性值可以为Auto、AES或3DES。属性值为Auto时，由asp.net的配置的默认值来确定解密算法，该值为默认值。属性值为AES时，使用AES算法，AES为数据解密的默认算法。属性值为3DES时，使用3DES算法。
- validation：该属性用于指定对数据进行加密的算法，属性值可以为AES、MD5、SHA1、TripleDES，默认值为SHA1。
- decryptionKey：该属性用于指定对数据进行加解密的密钥，也可以用于指定生成该密钥的进程。如果validation的属性值为TripleDES，该属性则可以用于对Forms身份验证的加解密，也可以用于视图状态的加密。该属性值可以为AutoGenerate或value。如果属性值为AutoGenerate，则说明asp.net生成随机的密钥，并存放在LSA中，该值是默认值。如果属性值为value，则指定一个手动分配的密钥，该密钥必须是十六进制的字符串。在使用DES加密时，密钥的长度必须是16位，使用3DES加密时，密钥长度必须是48位，只有使用128位加密的情况下，才能使用3DES。另外，decryptionKey属性值中可以添加IsolateApps修饰符，该修饰符可以让asp.net将每个应用程序的ID为每个应用程序生成一个唯一的密钥。该属性的默认值为“AutoGenerate,IsolateApps” 。
- validationKey： 该属性用于指定对数据进行验证的密钥，与decryptionKey类似，在此就不多介绍了。
第四、
以
- users：该属性用于指定拒绝访问网站资源的用户列表，用户与用户之间使用逗号作为分隔符。如果该属性值为?，则表示拒绝匿名用户，如果属性值为*，则表示拒绝所有用户。
- roles：该属性用于指定拒绝访问网站资源的角色列表，角色与角色之间使用逗号作为分隔符。
- verbs：该属性值是一个使用逗号分隔的HTTP传输方式列表（GET、HEAD、POST和DEBUG），这些传输方法拒绝访问网络资源。
=============================
原创不容易，转载请注明出处。
相关链接：
1、asp.net中的窗体身份验证（最简单篇）
2、asp.net中的窗体身份验证（分目录验证篇）
3、asp.net中的窗体身份验证（完整篇之一：创建asp.net的窗体身份验证方式）
4、asp.net中的窗体身份验证（完整篇之二：asp.net的窗体身份验证过程）
5、asp.net中的窗体身份验证（完整篇之三：用户登录页面）
6、asp.net中的窗体身份验证（完整篇之四：获得用户数据）
7、asp.net中的窗体身份验证（完整篇之五：退出登录）
8、asp.net中的窗体身份验证（完整篇之附录：web.config中相应节点详解）
9、asp.net中的窗体身份验证（不同的角色访问不同的目录）
10、asp.net中的窗体身份验证（验证HTML文件）
11、asp.net中的窗体身份验证（完整篇之六：登出后不能通过后退回来面来的页面）