我目前正在尝试创建自己的CMS系统。
在“ /tools/default.aspx”页面上,我有一个登录名,成功登录后,它会重定向到“ /tools/cms.aspx”。
我已经使用Windows身份验证来阻止对文件夹的不必要访问,但是如果我输入页面“ /cms/cms.aspx”,则无需登录即可访问CMS。
编辑:
我已禁止访问CMS,但现在无法登录,并且仍可以访问其文件夹。
/tools/web.config:
<?xml version="1.0"?>
<configuration>
<system.web>
<authorization>
<deny users="?"/>
</authorization>
</system.web>
<location path="default.aspx">
<system.web>
<authorization>
<allow users="*"/>
</authorization>
</system.web>
</location>
<location path="styles">
<system.web>
<authorization>
<allow users="?"/>
<allow users="*"/>
</authorization>
</system.web>
</location>
<location path="images">
<system.web>
<authorization>
<allow users="?"/>
<allow users="*"/>
</authorization>
</system.web>
</location>
</configuration>
web.config:
<?xml version="1.0"?>
<configuration>
<system.web>
<authentication mode="Forms">
<forms name="CMSLogin" loginUrl="~/tools/default.aspx" protection="All" timeout="20" path="/" />
</authentication>
<roleManager enabled="true" />
</system.web>
</configuration>
*删除了敏感的web.config信息
登录身份验证尝试:
protected void Login1_Authenticate(object sender, AuthenticateEventArgs e)
{
string userName = Login1.UserName;
string passWord = Login1.Password;
bool rememberUserName = Login1.RememberMeSet;
using (SqlConnection sqlCon = new SqlConnection(ConfigurationManager.ConnectionStrings["websiteContent"].ConnectionString))
{
sqlCon.Open();
string SQL = "SELECT CMS_Username, CMS_Password FROM CMS_Users WHERE CMS_Username ='" + userName + "' AND CMS_Password ='" + passWord + "'";
using (SqlCommand sqlComm = new SqlCommand(SQL, sqlCon))
{
sqlComm.ExecuteScalar();
if (sqlComm.ExecuteScalar() != null)
{
Response.Redirect("cms.aspx");
}
else
{
Session["UserAuthentication"] = "";
}
}
sqlCon.Close();
}
}
最佳答案
您可以在其页面加载事件的每个页面中检查session变量的值是否为null,也可以只使用母版页并在其加载事件中实施相同的检查。
关于c# - 内容管理系统的安全性?,我们在Stack Overflow上找到一个类似的问题:https://stackoverflow.com/questions/15837646/