ASP.NET Mitgliedschaft Passwort Ablauf

Question

Ich benutze ASP.NET-Mitgliedschaft für die Authentifizierung meiner Web-App. Das hat super für mich funktioniert. Ich muss jetzt den Passwortablauf implementieren.

Wenn das Passwort abgelaufen ist, sollte der Benutzer auf den Bildschirm ChangePassword umgeleitet werden und darf keinen Zugriff auf andere Teile der Anwendung haben, ohne das Passwort zu ändern.

Es gibt viele ASPX-Seiten. Eine Lösung könnte darin bestehen, zu dem -Bildschirm OnInit jedes Aspx umzuleiten, wenn das Passwort abgelaufen ist. Gibt es andere Lösungen oder Empfehlungen?

Danke, Jai

Answer 1

Sie könnten einen Ereignishandler für das HttpApplication.PostAuthenticateRequest Ereignis in global.asax hinzufügen und die Umleitung dort behandeln.

Answer 2

Nur in einer Stunde implementiert, keine Notwendigkeit, Ihre Basis-Seite zu ändern. Heres, was Sie tun müssen:

1. Respond zum LoggingIn Ereignisse der Mitgliedschaft Steuer

2. die Benutzer in der Mitgliederdatenbank finden und LastPasswordChangedDate

3. Mit einer Zeitspanne zu erhalten, vergleichen Sie diese mit das aktuelle Datum und entscheiden, ob das Passwort zuletzt mehr als die erforderliche Anzahl von Tagen geändert wurde. Ich erhalte diesen Wert von web.config

4. Wenn abgelaufen, Umleitung auf den ChangePassword Bildschirm

Answer 3

Zusätzlich zu csgero's answer, fand ich, dass Sie nicht brauchen, explizit einen Event-Handler für dieses Ereignis hinzuzufügen in ASP.Net 2.0 (3.5).

Sie können einfach die folgende Methode in global.asax erstellen und es für Sie verdrahtet wird:

void Application_PostAuthenticateRequest(object sender, EventArgs e) 
{ 
    if (this.User.Identity.IsAuthenticated) 
    { 
     // get user 
     MembershipUser user = Membership.GetUser(); 

     // has their password expired? 
     if (user != null 
      && user.LastPasswordChangedDate.Date.AddDays(90) < DateTime.Now.Date 
      && !Request.Path.EndsWith("/Account/ChangePassword.aspx")) 
     { 
      Server.Transfer("~/ChangePassword.aspx"); 
     } 
    } 
} 

Answer 4

Zusätzlich zu Andrew's answer, fand ich Sie überprüfen müssen, dass der Benutzer auf der Seite Kennwort ändern nicht bereits geschehen ist, oder sie werden nie in der Lage sein, tatsächlich ihr Passwort zu ändern, und daher nie das Passwort ändern Seite verlassen:

void Application_PostAuthenticateRequest(object sender, EventArgs e) 
    { 
     if (this.User.Identity.IsAuthenticated) 
     { 
      // get user 
      MembershipUser user = Membership.GetUser(); 

      // has their password expired? 
      if (user != null 
       && user.LastPasswordChangedDate.AddMinutes(30) < DateTime.Now 
       && !Request.Path.EndsWith("/Account/ChangePassword.aspx")) 
      { 
       Server.Transfer("~/Account/ChangePassword.aspx"); 
      } 
     } 
    } 

Answer 5

ich hier habe für eine Lösung dieses Problems suchen, aber meine aktuellen Stand der Technik ist ASP.NET MVC. So, anderen zu helfen: Sie können die AuthorizeAttribute erweitern können, und außer Kraft setzen OnAuthorization Methode, wie folgt aus:

public class ExpiredPasswordAttribute : AuthorizeAttribute 
{ 
    public override void OnAuthorization(AuthorizationContext filterContext) 
    { 
     IPrincipal user = filterContext.HttpContext.User; 

     if(user != null && user.Identity.IsAuthenticated) 
     { 
      MembershipUser membershipUser = Membership.GetUser(); 

      if (PasswordExpired) // Your logic to check if password is expired... 
      { 
       filterContext.HttpContext.Response.Redirect(
        string.Format("~/{0}/{1}?{2}", MVC.SGAccount.Name, MVC.SGAccount.ActionNames.ChangePassword, 
        "reason=expired")); 

      } 
     } 

     base.OnAuthorization(filterContext); 
    } 
} 

Hinweis: Ich verwende T4MVC Controller und Action-Namen in dem obigen Code abzurufen.

Markieren Sie alle Controller mit diesem Attribut außer "AccountController". Auf diese Weise kann kein Benutzer mit einem abgelaufenen Passwort auf der Website surfen.

Hier ist ein Beitrag habe ich mit einigen Bonuspunkte auf dem Thema haben:

User Password Expired filter attribute in ASP.NET MVC

Answer 6

ich verwendet, um den Code von oben und nur etwas in Asp.NET (4.5) MVC5 mit der zur Umsetzung modifiziert. NET-Identitätsanbieter so dass es gerade hier für den nächsten Mann/gal :)

void Application_PostAuthenticateRequest(object sender, EventArgs e) 
    { 
     if (this.User.Identity.IsAuthenticated) 
     { 
      WisewomanDBContext db = new WisewomanDBContext(); 

      // get user 
      var userId = User.Identity.GetUserId(); 
      ApplicationUser user = db.Users.Find(userId); 

      // has their password expired? 
      if (user != null && user.PasswordExpires <= DateTime.Now.Date 
       && !Request.Path.EndsWith("/Manage/ChangePassword")) 
      { 
       Response.Redirect("~/Manage/ChangePassword"); 
      } 

      db.Dispose(); 
     } 
    }