asp.net登錄頁面問題

Question

問：

的login page是起點到任何網站，並且對用戶進行認證的最重要的事情。

當我開始構建任何Web應用程序時，我想了很多時間如何設計具有靈活界面和如此安全的登錄頁面。

我的問題是：

---

• 是有什麼共同的意見，建議，必須做名單參加審議時，我開始建立這樣的特殊頁面：特別是（在 安全問題）？最佳實踐。 我想一般建議，原因，我的DBMS我informix或mysql或sql server。

Answer 1

地塊的爲一般認證建議（包括登錄頁面）：

1. 不要建立自己的認證方案，使用內置的成員資格提供
2. 減少會話超時到最低限度（考慮可用性）
3. 禁用滑動到期（再次，考慮到易用性方面）
4. 裝入登錄頁面和所有後續頁面之後用HTTPS
5. 確保cooki ES被設置爲需要HTTPS
6. 禁用cookie的認證
7. 不要在角色管理器的cookie使用自由的道路
8. 設置強標準爲最低密碼強度
9. 確保自動完成是關閉的登錄表格

還有更多的細節和更多的想法OWASP Top 10 for .NET developers part 3: Broken authentication and session management。另外嘗試通過WCSA傳遞您的web.config。

Answer 2

應通過HTTPS提供登錄頁面並將登錄憑證發送到服務器上的HTTPS操作。

Answer 3

最好是使用ASP.NET 2.0 Membership and Roles Tutorial Series

，並檢查這個問題，以及http://www.asp.net/security/tutorials

Answer 4

您可以使用Login控制來與VS.

以下是一些可幫助您入門的鏈接。

Link 1 Link 2

Answer 5

考慮使用非標準的（但廣泛採用），以增加安全性您的用戶名和密碼字段autocomplete屬性。順便說一句，它純粹是關於您正在尋找的界面的提示，或者您是否也對服務器端問題感興趣，例如，使用密碼加密，鹽等？

Answer 6

1. 加密在無法檢索到這是一種方式cifer當用戶輸入自己的用戶名和密碼並點擊登錄，把他輸入密碼和cifer它，它與保存的密碼比較的方式輸入密碼。

2. 使用存儲過程並且不要使用內聯數據庫查詢連接，這樣就不會面臨sql注入。

3. 使用HTTPS