关于Membership（成员资格）

2.0中提供的身份验证，Authentication基本上能能够满足对于用户验证的需求。不过，凡是涉及到用户、身份验证的系统里边，角色（Role）也是一个不可或缺的概念。在web.config文件的<authorization>节点下，<allow>和<deny>节点中的roles属性，正是用于配置哪些角色可以或者不可以访问web.config目录下的文件的访问规则，具体的哪些文件，可以在IIS中通过设置ISAPI、文件拓展名等进行配置，这里不多废话。好了，问题来了，既然知道了roles属性是用来配置访问规则，那么我该如何管理这些角色和用户呢？

 

在<authentication mode="Windows">的情况下，是不是在使用Windows的用户和角色的访问规则，这个我还不能确定。我要说的是当<authentication mode="Forms">的时候，验证用户凭据和管理用户设置的功能，就是由Membership来完成的，这是Microsoft为我们提供的成员资格验证的方案。Membership依赖于它的提供程序和用户、角色数据，.Net Framework提供了SqlMembershipPorvider用于验证储存在Microsoft Sql Server中的用户数据，默认情况下，该库在网站的App_Data目录下。而Membership的提供程序是可以在web.config文件中进行修改的，也就是说，我们可以重写当中的验证规则，使之可以应用到实际项目的数据库中去。参见实现成员资格提供程序。