View source for ASP.Net veebisaidi ligipääsupiirangud

Alustuseks tuleks konfiguratsioonifailis öelda, et me soovime kasutajaid autentida ning autentimata kasutajad sisse ei saa. Selleks lisame system.web elemendi alla kaks uut elementi: 
* authentication – ütleb, kuidas plaanime kasutajaid tuvastada
* authorization – ütleb, kes saab sisse

Autentimiseks kasutame vormipõhist autentimist, mis võimaldab meil kirjutada oma metoodika kasutajate autentimiseks:
<source lang="xml">
<authentication mode="Forms">
	<forms name="Projekt" loginUrl="~/logon.aspx" />
</authentication>
</source>
Järgmiseks tuleb anda ligipääs kõigile kasutajatele/kasutajagruppidele keda soovite oma veebile ligi lasta ning keelata ära ligipääs ülejäänutele. Ligipääsu andmiseks või keelamiseks tuleb autorization elemendi sisse lisada allow ja deny alamelemendid vastavalt ligipääsu andmiseks ja keelamiseks. 
Kasutajale ligipääsu andmiseks või keelamiseks tuleb lisada allow elemendi sisse atribuut users. Näiteks:
<source lang="xml">
<allow users="mati"/>
</source>
Annab ligipääsu kasutajale mati. Lisaks sellele on võimalik kasutada ka kahte erimärki * (tärn) ning ? (küsimärk). Tärniga tähistatakse kõiki kasutajaid ning küsimärgiga tähistatakse anonüümseid ehk autentimata kasutajaid. Kuni te autoriseerimisreegleid ei ole kehtestanud kehtivad vaikimise määratud autoriseerimisreeglid, mis annavad ligipääsu kõigile kasutajatele:
<source lang="xml">
<allow users="*"/>
</source>
Kõige lihtsamaks muudatuseks autoriseerimisreeglites oleks keelata ligipääs kõigile anonüümsetele kasutajatele lubades kõik ülejäänud (kes on oma kasutajanime ja parooli sisestanud) veebile ligi:
<source lang="xml">
<authorization >
	<allow users="*"/>
	<deny users="?"/>
</authorization>
</source>
See tekitab muidugi olukorra, kus ilma paroolita ei saa külastaja mitte ühelegi lehele ligi. Kui soovite osaliselt lubada ka anonüümset ligipääsu, tuleks kas:
* kõik turvamist vajavad lehed tõsta teise kausta ja lubada juurkausta kõik ning seada täiendavad piirangud alamkaustadele
* või öelda, et nt default.aspx’i me ei kaitse
Mõlemal juhul tuleb lisada konfiguratsiooni eraldi location element, millega anname teatud asukohale erineva seadistuse. Hetkel läheme seda teed, et lubame kõigil vaadata default.aspx faili.
<source lang="xml">
<location path="default.aspx">
    <system.web>
      <authorization >
        <allow users="*"/>
        <deny users="?"/>
      </authorization>
    </system.web>
</location>
</source>
Nüüd tuleks valmis teha kasutajate autentimise vorm logon.aspx. ASP.NET alates versioonist 2.0 on tore selle poolest, et kasutaja tuvastamise vormi ei pea ise moodustama, selle jaoks on spetsiaalne server element nimega logon. Seega näeb meie login.aspx välja järgmine:
<source lang="asp">
<%@ Page Language="C#" AutoEventWireup="true" CodeFile="logon.aspx.cs"
         Inherits="logon" %>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml" >
<head runat="server">
    <title>Kasutaja tuvastamine</title>
</head>
<body>
    <form id="form1" runat="server">
        <asp:Login ID="Login1" runat="server"
                                        OnAuthenticate="TuvastaKasutaja" />
    </form>
</body>
</html>
</source>
Koodifailis peame realiseerima kasutajate tuvastamise protseduuri. Hetkel lahendame selle ülilihtsalt. Tegelikkuses peaks olema tegemist mingi andmebaasipõhise kasutaja tuvastamisega.
<source lang="csharp">
public partial class logon : System.Web.UI.Page
{
    protected void TuvastaKasutaja(object sender, AuthenticateEventArgs e)
    {
        e.Authenticated = Login1.UserName.ToUpper() == "MATI" && 
                          Login1.Password == "pwd";
    }
}
</source>