ASP.NET2.0導航功能之配置會員和角色
一、 簡介
在本文中，我們將探討ASP.NET 2.0的會員、角色和配置問題。ASP.NET中的會員系統提供了一個可編程API用于創建和管理用戶賬戶，而其中的角色部分使開發者能夠定義一組角色并把用戶與角色相關聯。典型地，一個提供用戶賬戶的網站都具有只為某些用戶、認證用戶或屬于特定角色的用戶所存取的內容部分。
例如，一個Web站點可能有一組頁面——它允許一個可信任用戶編輯該Web站點的內容或管理已有用戶。不是簡單地試圖隱藏這個頁面并且希望沒有人偶然在瀏覽它時遇到麻煩，或硬編碼授權而僅僅允許單個用戶使用；一種更為強壯和安全的方式是定義一個管理員角色——然后賦給他一組選出來的信任用戶。最后，這些管理web頁面被進一步配置以允許僅那些具有管理員角色的用戶可以進行存取操作。同樣，該Web站點可能包含一組只有認證用戶可以存取的頁面。
既然該站點的某些部分可能只能為某些用戶所存取，那么，這就使得我們在建立站點導航時有點進退兩難。我們是否要包括那些只有授權用戶才能在Web站點的站點地圖中存取的頁面？如果我們這樣做了，那么所有的用戶將會在該站點的菜單或樹視圖中看到受限制的頁面。為什么不能向存取它們的用戶顯示指向這些頁面的鏈接呢？如果我們從站點地圖上刪除了這些受限制的頁面，那么那些來觀看這些頁面的授權用戶就無法容易地導航到它們，因為它們不是站點地圖的一部分，并因此不會出現在該站點的樹視圖或菜單中！
值得慶幸的是，ASP.NET 2.0的站點導航提供了一種稱為安全性修剪的特性。當用支持安全性修剪的功能獲得站點地圖信息時，只有那些當前登錄的用戶具有訪問授權的站點地圖結點才是可用的。這意味著，站點的TreeView或Menu將僅包含為當前登錄用戶可存取的那些部分。要想了解怎樣配置站點導航以支持安全性修剪，請接著往下讀！
二、 配置ASP.NET 2.0的會員和（可選）角色
既然站點導航安全性修剪把站點地圖數據基于訪問頁面的用戶和為站點地圖中的頁面定義的授權設置，那么在我們可以分析安全性修剪之前，你必須首先配置你的Web站點以使用ASP.NET 2.0的會員服務功能。(你也可以配置該站點來使用角色，并使用基于角色的授權優點，但是這對于展示安全性修剪概念并不作要求。)至于詳細討論怎樣配置一站點以使用會員和角色已經超出了本文的范圍。
如果你不想在一個新的Web站點上花費時間來安裝會員和角色特性的話，你可以使用它。具體地說，在本文后面可下載的Web站點中包含兩個角色——管理員（Administrator）和測試員（Tester），并有四個用戶：
·Superman，其角色為管理員和測試者
·Admin，其角色為管理員
·Mr.Tester，其角色為測試者
·Average User，沒有任何角色
而且，我在該工程中有三個文件夾：Admin，Tester和AuthUsersOnly。前兩個文件夾已經被配置僅允許具有管理員和測試者角色的用戶存取。AuthUsersOnly文件夾被限制僅用于認證的用戶。
三、 配置站點導航以使用安全性修剪
默認地，站點導航并不使用安全性修剪。不管什么用戶正在訪問站點，并且不管定義什么樣的授權規則，當每個用戶通過一TreeView或菜單Web控件來觀看站點地圖數據時，他都被可以看到站點地圖中的所有部分。通過啟動安全性修剪，站點導航系統將自動地基于當前登錄的用戶和為站點地圖中的＜siteMapNode＞元素所參考的頁面的授權而限制顯示結果。
可以使用下列模式通過Web.config文件來配置站點導航設置：
回想一下在本系列第一部分中的討論——站點導航系統使用了提供者模型。這個模型提供給開發者一些良好定義的公共API，但是允許（如果需要的話）定制內部實現細節。缺省地，站點導航特點使用XmlSiteMapProvider-它從XML格式化的站點地圖文件Web.sitemap中獲得站點地圖信息。你可以通過Web.config文件來改變所使用的提供者，或修改針對缺省提供者的缺省設置。
為了定制缺省提供者的設置，只要簡單地添加一新的提供者-它使用與缺省提供者(System.Web.XmlSiteMapProvider)相同的類型來定制所需要的設置。上面顯示的代碼片段展示了定制兩個XmlSiteMapProvider的設置：
·siteMapFile設置指定由提供者所使用的站點地圖文件的文件名；缺省地，這個值是Web.sitemap。你如果喜歡，可以在此定制文件名。但是，我鼓勵你確保站點地圖文件名以.sitemap擴展名結尾，因為缺省地這個擴展名被ASP.NET引擎保護，從而阻止web訪問者觀看站點地圖文件。
·securityTrimmingEnabled設置顯示是否使用安全性修剪。為了使用安全性修剪，可以把它設置為true，如上面所示。
就是這些！僅需作此改變，站點導航系統就會根據當前登錄的用戶和為在＜siteMapNode＞元素中的URL定義的授權設置非常聰明地返回正確的部分。下列屏幕快照顯示了當分別在匿名訪問者（還沒有登錄的）、普通用戶以及Admin用戶訪問時的TreeView的顯示情況。該匿名訪問者僅能看到兩個鏈接-Home和 My Blog。普通用戶能看到另外的一個鏈接-Auth Users，而匿名訪問者是看不到它的，因為這個結點的URL('/AuthUsers/Default.aspx)被配置為僅允許認證用戶觀看。Admin用戶還能看到另外其它鏈接，因為他是管理員角色并且為Admin站點地圖結點('/Admin/Default.aspx)所指向的URL被配置僅允許由管理員存取。
四、 用角色屬性阻止安全性修剪
可能有一些時候-你想要顯式地通知安全性修剪不要為一個特別的角色或一組角色修剪一個站點地圖部分。例如，如果你的站點地圖包含一個到外部資源的鏈接，那么該站點導航系統不可能針對這個遠程資源確定授權規則。因此，它為所有的用戶修剪該結點。也就是說，如果你啟動了安全性修剪功能并且在用一外部鏈接(如＜siteMapNode url="http://www.scottonwriting.net/sowBlog/" title="My Blog"/＞)使用一個站點地圖，那么，沒有用戶會在TreeView或Menu控件中看到這些。然而，你可能想要讓該站點導航系統為那些具有Administrator和Tester角色的用戶顯示這一結點。(或不考慮任何用戶的角色。)
同樣，即使他們沒有被授權存取該資源，你也可能想向這些用戶顯示一個局部站點地圖結點。例如，一訪問該站點卻還沒有登錄的用戶肯定不會看到在TreeView中的Admin鏈接。然而，我們仍可能想顯示之。點擊它將會使用戶被導航到'/Admin/Default.aspx頁面，此時，系統將看到他們沒有被認證。這將把他們引導到登錄頁面。在登錄后，他們將被自動地引導回Admin頁面。如果他們不是管理員角色，他們將被送回到登錄頁面，否則他們將被同意存取Admin部分。
為了不修剪針對一個特定的站點地圖結點的特別角色，可以使用在相應的＜siteMapNode＞元素中的角色屬性。(注意：這一設置不會應用到descendent＜siteMapNode＞元素；也就是說，對那些顯式地指定另外的應該看到該結點的角色，你必須顯式地在每一個＜siteMapNode＞元素上設置這一屬性)。此角色屬性能包含一個角色名，一個用逗號間隔列表的角色名字，或一個星號(*)來表示所有的用戶。包含在本文末尾的下載文件中的下列站點地圖文件顯示出怎樣使用角色屬性來使得所有的用戶擁有一個外部的站點地圖結點參考。（可以聯想到，當啟動安全性修剪功能時，如果在此忽略角色屬性，這將導致不向任何用戶顯示這個站點地圖結點。)>
該角色屬性還可以用于在安全性修剪功能性上增加一些性能改進。在啟動了安全性修剪功能后，站點導航提供者為所有的定義在站點地圖中的結點自動地檢查授權規則。對于那些你想要向所有的用戶顯示的結點，通過添加roles="*"，你可以繞過這一檢查，如上例中所示。通過添加這個屬性，你會短路正常的授權檢查，從而改進安全性修剪性能。
五、 結論
除了提供站點導航支持外，ASP.NET 2.0還使得構建包括用戶帳戶支持和基于角色的授權的Web站點非常容易。隨之而來的并不令人感到驚奇-這兩個系統可以互操作并且提供一個站點地圖-其返回內容是基于當前登錄的用戶和定義在站點地圖中的URL的授權設置。配置站點導航以限制基于訪問用戶和授權設置的結果就象把一些代碼添加Web.config文件一樣地容易。
在本文中，我們將探討ASP.NET 2.0的會員、角色和配置問題。ASP.NET中的會員系統提供了一個可編程API用于創建和管理用戶賬戶，而其中的角色部分使開發者能夠定義一組角色并把用戶與角色相關聯。典型地，一個提供用戶賬戶的網站都具有只為某些用戶、認證用戶或屬于特定角色的用戶所存取的內容部分。
例如，一個Web站點可能有一組頁面——它允許一個可信任用戶編輯該Web站點的內容或管理已有用戶。不是簡單地試圖隱藏這個頁面并且希望沒有人偶然在瀏覽它時遇到麻煩，或硬編碼授權而僅僅允許單個用戶使用；一種更為強壯和安全的方式是定義一個管理員角色——然后賦給他一組選出來的信任用戶。最后，這些管理web頁面被進一步配置以允許僅那些具有管理員角色的用戶可以進行存取操作。同樣，該Web站點可能包含一組只有認證用戶可以存取的頁面。
既然該站點的某些部分可能只能為某些用戶所存取，那么，這就使得我們在建立站點導航時有點進退兩難。我們是否要包括那些只有授權用戶才能在Web站點的站點地圖中存取的頁面？如果我們這樣做了，那么所有的用戶將會在該站點的菜單或樹視圖中看到受限制的頁面。為什么不能向存取它們的用戶顯示指向這些頁面的鏈接呢？如果我們從站點地圖上刪除了這些受限制的頁面，那么那些來觀看這些頁面的授權用戶就無法容易地導航到它們，因為它們不是站點地圖的一部分，并因此不會出現在該站點的樹視圖或菜單中！
值得慶幸的是，ASP.NET 2.0的站點導航提供了一種稱為安全性修剪的特性。當用支持安全性修剪的功能獲得站點地圖信息時，只有那些當前登錄的用戶具有訪問授權的站點地圖結點才是可用的。這意味著，站點的TreeView或Menu將僅包含為當前登錄用戶可存取的那些部分。要想了解怎樣配置站點導航以支持安全性修剪，請接著往下讀！
二、 配置ASP.NET 2.0的會員和（可選）角色
既然站點導航安全性修剪把站點地圖數據基于訪問頁面的用戶和為站點地圖中的頁面定義的授權設置，那么在我們可以分析安全性修剪之前，你必須首先配置你的Web站點以使用ASP.NET 2.0的會員服務功能。(你也可以配置該站點來使用角色，并使用基于角色的授權優點，但是這對于展示安全性修剪概念并不作要求。)至于詳細討論怎樣配置一站點以使用會員和角色已經超出了本文的范圍。
如果你不想在一個新的Web站點上花費時間來安裝會員和角色特性的話，你可以使用它。具體地說，在本文后面可下載的Web站點中包含兩個角色——管理員（Administrator）和測試員（Tester），并有四個用戶：
·Superman，其角色為管理員和測試者
·Admin，其角色為管理員
·Mr.Tester，其角色為測試者
·Average User，沒有任何角色
而且，我在該工程中有三個文件夾：Admin，Tester和AuthUsersOnly。前兩個文件夾已經被配置僅允許具有管理員和測試者角色的用戶存取。AuthUsersOnly文件夾被限制僅用于認證的用戶。
三、 配置站點導航以使用安全性修剪
默認地，站點導航并不使用安全性修剪。不管什么用戶正在訪問站點，并且不管定義什么樣的授權規則，當每個用戶通過一TreeView或菜單Web控件來觀看站點地圖數據時，他都被可以看到站點地圖中的所有部分。通過啟動安全性修剪，站點導航系統將自動地基于當前登錄的用戶和為站點地圖中的＜siteMapNode＞元素所參考的頁面的授權而限制顯示結果。
可以使用下列模式通過Web.config文件來配置站點導航設置：
| ＜siteMap defaultProvider="XmlSiteMapProvider" enabled="true"＞ ＜providers＞ ＜add name="XmlSiteMapProvider" description="Default SiteMap provider." type="System.Web.XmlSiteMapProvider" siteMapFile="siteMapFileName" securityTrimmingEnabled="true" /＞ ＜/providers＞ ＜/siteMap＞ |
回想一下在本系列第一部分中的討論——站點導航系統使用了提供者模型。這個模型提供給開發者一些良好定義的公共API，但是允許（如果需要的話）定制內部實現細節。缺省地，站點導航特點使用XmlSiteMapProvider-它從XML格式化的站點地圖文件Web.sitemap中獲得站點地圖信息。你可以通過Web.config文件來改變所使用的提供者，或修改針對缺省提供者的缺省設置。
為了定制缺省提供者的設置，只要簡單地添加一新的提供者-它使用與缺省提供者(System.Web.XmlSiteMapProvider)相同的類型來定制所需要的設置。上面顯示的代碼片段展示了定制兩個XmlSiteMapProvider的設置：
·siteMapFile設置指定由提供者所使用的站點地圖文件的文件名；缺省地，這個值是Web.sitemap。你如果喜歡，可以在此定制文件名。但是，我鼓勵你確保站點地圖文件名以.sitemap擴展名結尾，因為缺省地這個擴展名被ASP.NET引擎保護，從而阻止web訪問者觀看站點地圖文件。
·securityTrimmingEnabled設置顯示是否使用安全性修剪。為了使用安全性修剪，可以把它設置為true，如上面所示。
就是這些！僅需作此改變，站點導航系統就會根據當前登錄的用戶和為在＜siteMapNode＞元素中的URL定義的授權設置非常聰明地返回正確的部分。下列屏幕快照顯示了當分別在匿名訪問者（還沒有登錄的）、普通用戶以及Admin用戶訪問時的TreeView的顯示情況。該匿名訪問者僅能看到兩個鏈接-Home和 My Blog。普通用戶能看到另外的一個鏈接-Auth Users，而匿名訪問者是看不到它的，因為這個結點的URL('/AuthUsers/Default.aspx)被配置為僅允許認證用戶觀看。Admin用戶還能看到另外其它鏈接，因為他是管理員角色并且為Admin站點地圖結點('/Admin/Default.aspx)所指向的URL被配置僅允許由管理員存取。
 當由匿名訪問者訪問時的TreeView |
 為普通用戶訪問時的TreeView |
 為Admin訪問時的TreeView |
四、 用角色屬性阻止安全性修剪
可能有一些時候-你想要顯式地通知安全性修剪不要為一個特別的角色或一組角色修剪一個站點地圖部分。例如，如果你的站點地圖包含一個到外部資源的鏈接，那么該站點導航系統不可能針對這個遠程資源確定授權規則。因此，它為所有的用戶修剪該結點。也就是說，如果你啟動了安全性修剪功能并且在用一外部鏈接(如＜siteMapNode url="http://www.scottonwriting.net/sowBlog/" title="My Blog"/＞)使用一個站點地圖，那么，沒有用戶會在TreeView或Menu控件中看到這些。然而，你可能想要讓該站點導航系統為那些具有Administrator和Tester角色的用戶顯示這一結點。(或不考慮任何用戶的角色。)
同樣，即使他們沒有被授權存取該資源，你也可能想向這些用戶顯示一個局部站點地圖結點。例如，一訪問該站點卻還沒有登錄的用戶肯定不會看到在TreeView中的Admin鏈接。然而，我們仍可能想顯示之。點擊它將會使用戶被導航到'/Admin/Default.aspx頁面，此時，系統將看到他們沒有被認證。這將把他們引導到登錄頁面。在登錄后，他們將被自動地引導回Admin頁面。如果他們不是管理員角色，他們將被送回到登錄頁面，否則他們將被同意存取Admin部分。
為了不修剪針對一個特定的站點地圖結點的特別角色，可以使用在相應的＜siteMapNode＞元素中的角色屬性。(注意：這一設置不會應用到descendent＜siteMapNode＞元素；也就是說，對那些顯式地指定另外的應該看到該結點的角色，你必須顯式地在每一個＜siteMapNode＞元素上設置這一屬性)。此角色屬性能包含一個角色名，一個用逗號間隔列表的角色名字，或一個星號(*)來表示所有的用戶。包含在本文末尾的下載文件中的下列站點地圖文件顯示出怎樣使用角色屬性來使得所有的用戶擁有一個外部的站點地圖結點參考。（可以聯想到，當啟動安全性修剪功能時，如果在此忽略角色屬性，這將導致不向任何用戶顯示這個站點地圖結點。)>
| ＜siteMap xmlns="http://schemas.microsoft.com/AspNet/SiteMap-File-1.0" ＞ ＜siteMapNode url="'/Default.aspx" title="Home"＞ ＜siteMapNode url="'/About.aspx" title="About" /＞ ＜siteMapNode url="'/Admin/Default.aspx" title="Admins" /＞ ＜siteMapNode url="'/Tester/Default.aspx" title="Tester" /＞ ＜siteMapNode url="'/AuthUsers/Default.aspx" title="Auth Users Only" /＞ ＜!-- For links to outside resources, need to explicitly define what roles should be shown this section --＞ ＜siteMapNode url="http://www.scottonwriting.net/sowBlog/" title="My Blog" roles="*" /＞ ＜/siteMapNode＞ ＜/siteMap＞ |
該角色屬性還可以用于在安全性修剪功能性上增加一些性能改進。在啟動了安全性修剪功能后，站點導航提供者為所有的定義在站點地圖中的結點自動地檢查授權規則。對于那些你想要向所有的用戶顯示的結點，通過添加roles="*"，你可以繞過這一檢查，如上例中所示。通過添加這個屬性，你會短路正常的授權檢查，從而改進安全性修剪性能。
五、 結論
除了提供站點導航支持外，ASP.NET 2.0還使得構建包括用戶帳戶支持和基于角色的授權的Web站點非常容易。隨之而來的并不令人感到驚奇-這兩個系統可以互操作并且提供一個站點地圖-其返回內容是基于當前登錄的用戶和定義在站點地圖中的URL的授權設置。配置站點導航以限制基于訪問用戶和授權設置的結果就象把一些代碼添加Web.config文件一樣地容易。