身份验证和授权的最佳方法

Question

在asp.net mvc 3和4网站中为大中型网站构建身份验证和授权层的最佳实践是什么，比如说一个govt应用程序，每天允许10000次点击。 在大多数情况下，首选方法是什么？

1）从头开始构建新层

2）使用会员资格提供者（可以根据我的要求完全成型吗？）

3）我最近开始了解身份和iprinciple接口

或任何其他方法。

编辑

stackoverflow使用什么方法？

Answer 1

我认为任何实现都没有严格的最佳实践 。 显然有严格的安全策略可用于数据保护等。因此，无论您选择哪个层，都需要遵守此策略。 过去我曾经使用过ASP.Net的成员资格提供程序，并且可以对其进行扩展以适合我的所有要求， 此代码项目文章进一步详细介绍了如何创建自定义成员资格和自定义角色提供程序。

Answer 2

在为您的应用选择身份验证和授权时，有很多注意事项-您将需要提供更多信息。

身份验证的典型注意事项是：

• 用户是在公司AD或LDAP Intranet（Windows，Kerberos）上，还是Internet用户（成员身份等）？
• 您是否要使用单一登录（例如OAuth等）
• 您是否要使用基于声明的身份？
• 您要用户“自我管理”（例如，忘记密码等）还是由呼叫中心管理（服务台）？

有授权

• 基于角色的安全性是否足够好（IsUserInRole），还是您需要权限/操作级别检查（例如AzMan）
• 角色将来可能会发生变化吗（例如，用户之间的业务流程/任务分配是否会发生变化）

等等