概述

                              逻辑设计

                              1.接收参数

                              2.判断参数合法性

                              3.访问数据库

                              4.保存Session

                              5.保存Cookie

                              6.跳转到指定页面

本文介绍的登录功能是一般登录逻辑，不能作为真正项目开发依据！！仅供学习参考！

由于登录功能涉及的知识点较广，这里只抽取部分主要知识点进行浅析，并没有作深入的探讨。

或许很多学.NET的初学者都接触过登录模块的设计：设计前台页面，输入帐号密码后登录，后台接收传过来的帐号密码，判断合法性，根据帐号密码在数据库中查找有没有实体，若有则登录成功；否则，登录失败

嗯，本文介绍的登录逻辑大体如此，但是仍有一些细微的地方让我们做得更好更完善，我希望你阅读此文后，学习到的不仅是登录功能，还有实际项目中我们要注意的地方

逻辑设计

先说一个例子：小明要去小红家（做作业呗，别想太多），他认识去小红家的路，小明和小红相互认识，拿着钥匙进屋而不被小红赶走。这就是一个登录过程，缺一不可

客户端（浏览器）：获取用户输入的帐号（如：admin）、密码(如：123)

服务端：判断浏览器发送过来的帐号、密码是否与数据库中存在吻合的数据，执行如下图的逻辑：

                                    1.首先接收浏览器发送过来的帐号（如：admin）、密码(如：123)

                                    2.判断参数是否有非法字符、长度是否超出限制等。若非法，返回到登录页面（小明都不认识路，还做作业个屁啊）

                                    3.此时参数合法了，只是首要条件，它们还需要过数据库这一关。以帐号、密码作为查询条件，在数据库中是否有吻合的数据，若没有，返回登录页面（小明高兴地拿着钥匙进小红家，钥匙对不上或者小红不认识小明都进不了，慢着！小明怎么有小红家的钥匙。。）

                                    4.好吧，帐号密码都对了，登录成功！（他们愉快地一起做作业）（且慢！验证码呢？U盾呢？视网膜？DNA?…这里暂且不考虑0.0）

1. 接收参数 

一、服务器控件形式

     通过服务器控件,可以更加方便从后台代码获取对应的属性

     前台页面:

<form runat="server">
   <asp:TextBox ID="txtUserName" runat="server"  placeholder="用户名" title="用户名"></asp:TextBox>
   <br/>
   <asp:TextBox ID="txtPassword" runat="server" TextMode="Password" placeholder="密码" title="密码"></asp:TextBox>
   <br/>
   <asp:Button ID="btnSubmit" runat="server" Text="登 录" OnClick="btnSubmit_Click"/>
</form>

    后台代码:   

protected void btnSubmit_Click(object sender, EventArgs e)
{
            // 获取参数
              string userName = txtUserName.Text.Trim();         //用户名,例如:"admin"
            string userPwd = txtPassword.Text.Trim();            //密码,例如:"123"
}

     在服务器控件中会出现下面两种属性，请不要混淆：

    OnClientClick=“js_Click()”：表示客户端的点击事件，也就是点击的方法js_Click()是前台页面的js方法   

    OnClick=“btnSubmit_Click” ：表示服务器端的点击事件，也就是点击的方法btnSubmit_Click是后台代码的事件的方法名，由于前台页面编译后会生成一个继承后台代码的页面类（涉及aspx生命周期，了解即可），所以方法不能用private修饰！否则无法访问此方法   

    知道他们区别之后我们就可以在事件中写获取参数的代码了

    string userName=txtUserName.Text.Trim();

    txtUserName必须跟服务器控件的ID名称相同！

    有时候用户在输入前、后喜欢敲几下空格，所以每一个严谨的程序员在接收参数的时候都会用Trim()来截断字符串左右包含的空格，这是很好的习惯。

二、普通HTML标签形式

     前台页面

<form method="post" action="/admin/login.aspx">
        <input type="text" name="txtUserName" />
        <br />
        <input type="password" name="txtPassword" />
        <br />
        <input type="submit" value="登录" />
</form>

     当action不指定路径的时候默认提交到当前页面，注意上面例子的请求方式method="post"，请求方式除了“post”之外还有“get”方式，但是登录一般采取post方式,因为如果采取get方式的话，帐号密码会填到url增加不安全性。

例如：../login.aspx?txtUserName=admin&txtPassword=123

     后台代码

protected void Page_Load(object sender, EventArgs e)
{
            if (Request.HttpMethod.ToLower() == "post")//当前请求方式为post
            {
                string userName2 = Request.Form["txtUserName"].Trim();
                string userPwd2 = Request.Form["txtPassword"].Trim();
            }
           else if (Request.HttpMethod.ToLower()=="get")//当前请求方式为get
            {
                string userName2 = Request.QueryString["txtUserName"].Trim();
                string userPwd2 = Request.QueryString["txtPassword"].Trim();
            }
}

      对于两种请求方式，下面有几种获取参数的方法

2. 判断参数合法性 

判断参数的合法性，一般可以分为前台验证和后台验证

对于前台验证，我们可以通过一些js插件完成，或者通过增加服务器控件的一些属性来达到前台验证的目的，这里不作说明

对于后台验证，一般来说做非空验证即可

if (string.IsNullOrEmpty(userName)||string.IsNullOrEmpty(userPwd))
{
                Page.ClientScript.RegisterStartupScript(this.GetType(), "", " <script type='text/JavaScript'>alert('请输入用户名和密码') </script>");
                return;
}

不推荐使用Response.Write()这种方式输出脚本
推荐使用Page.ClientScript.RegisterStartupScript(this.GetType(), "", " <script type='text/JavaScript'>alert('请输入用户名和密码') </script>");

3. 访问数据库

如果通过上面的验证，接下来我们就可以访问数据库了，这里只简单介绍相关的业务逻辑，对于不懂得访问数据库的同学建议自行了解ADO.NET。

对于简单练习的登录功能，我们可以直接在aspx.cs类中访问数据库

但是实际项目中为了降低模块间的耦合程度，我们建议使用“三层架构”。

接下来我们要在“业务逻辑层（Business Logical Layer）”也就是BLL层对帐号和密码做一些逻辑处理

MD5加密

          为什么采取md5加密？

         MD5算法具有以下特点：

         1、压缩性：任意长度的数据，算出的MD5值长度都是固定的。

         2、容易计算：从原数据计算出MD5值很容易。

         3、抗修改性：对原数据进行任何改动，哪怕只修改1个字节，所得到的MD5值都有很大区别。

         4、弱抗碰撞：已知原数据和其MD5值，想找到一个具有相同MD5值的数据（即伪造数据）是非常困难的。

         5、强抗碰撞：想找到两个不同的数据，使它们具有相同的MD5值，是非常困难的。     ---------来自百度百科

         数据库的用户表的密码一般是用明文密码（例如：“123”）通过md5加密成的md5值。

         所以我们要从数据库读取数据，一定要将明文密码转成md5值才能读取到数据

         虽说系统自带md5算法可以帮我们完成md5加密，但在实际操作中还要注意一个地方

           对于第一种方法是不推荐的，黑客可以用常用的明文密码经过md5加密的md5值与数据库中做对比，对比成功就知道明文密码了。

           这是由于md5生成的唯一性。例如：“123456”加密后就一定是“E10ADC3949BA59ABBE56E057F20F883E”

           所以一般项目工程都倾向第二种，通过“密钥”的干扰生成的md5值，即使黑客拿到这个md5值也不知道明文密码，只要他不知道这个“密钥”!

           下面是一个md5的加密方法：

/// <summary> 
        /// 加密数据 MD5
        /// </summary> 
        /// <param name="Text"></param> 
        /// <param name="sKey"></param> 
        /// <returns></returns> 
        public static string Encrypt(string Text, string sKey)
        {
            DESCryptoServiceProvider des = new DESCryptoServiceProvider();
            byte[] inputByteArray;
            inputByteArray = Encoding.Default.GetBytes(Text);
            des.Key = ASCIIEncoding.ASCII.GetBytes(System.Web.Security.FormsAuthentication.HashPasswordForStoringInConfigFile(sKey, "md5").Substring(0, 8));
            des.IV = ASCIIEncoding.ASCII.GetBytes(System.Web.Security.FormsAuthentication.HashPasswordForStoringInConfigFile(sKey, "md5").Substring(0, 8));
            System.IO.MemoryStream ms = new System.IO.MemoryStream();
            CryptoStream cs = new CryptoStream(ms, des.CreateEncryptor(), CryptoStreamMode.Write);
            cs.Write(inputByteArray, 0, inputByteArray.Length);
            cs.FlushFinalBlock();
            StringBuilder ret = new StringBuilder();
            foreach (byte b in ms.ToArray())
            {
                ret.AppendFormat("{0:X2}", b);
            }
            return ret.ToString();
        }

4. 保存Session

在介绍如何保存session之前，先区别缓存、session、cookie他们之间的关系，这可以帮助我们采用适当的保存数据的方式

Cookie:是存在于客户端浏览器的，存少量的数据，属于该浏览器的用户可以访问

Session:是存在于服务器进程中，可以存对象，数据量比cookie大，属于该进程的用户才可以访问

HttpContext.Current.Cache：是存在于服务器内存中，相当于内存，只要能访问该服务器的用户都可以从访问

            那么，可以根据你要分享数据的用户对象，和数据量的大小来采取适当的存储策略

篇幅有限，这里就不详细介绍session的原理。只说明要注意的地方：

Session[CNKeys.SESSION_ADMIN_INFO] = model;
Session.Timeout = 45;

1.Session保存的可以是对象，如果当前Session[CNKeys.SESSION_ADMIN_INFO]为null，就把model对象赋值上去，否则覆盖原来的这里的model对象是指从数据库成功读取的用户数据，包括用户帐号，md5密码，电话，邮箱等等，通过session保存用户对象，我们可以在程序中的任何一个网页通过Session[CNKeys.SESSION_ADMIN_INFO]读取用户的数据，而无需再访问数据库读取用户数据

2.Session默认保存是20分钟，如果这20分钟页面没有任何操作（例如：刷新），则自动销毁；如果有操作则顺延20分钟

3.Session[]中括号里面的是字符串，不建议用Session[“adminInfo”]这种方式，以后要使用的话工作量会加大，且增加出错机会（填错键值）

我们可以先定义一个类CNKeys，在类中定义常量字段SESSION_ADMIN_INFO

public class CNKeys
{
      public const string SESSION_ADMIN_INFO="adminInfo";
}

这种方法，利用vs的智能提示可以方便且准确填写键值，以后要修改键名可以直接在类中修改，但是对于已经发布的网站需要重新编译程序，重新发布。

当然你也可以用配置文件配置起来，以后要修改可以直接修改配置文件而无需重新编译程序

5. 保存Cookie

Cookie,它是存在于客户端浏览器的。由于浏览器自身可以随意获取，所以不建议保存敏感信息。它的保存方式也是键值对，只保存字符串，但不能保存对象。

HttpCookie cookie = new HttpCookie();
cookie.Name = model.user_name;
cookie.Value = model.user_name;
cookie.Expires = DateTime.Now.AddDays(3);//当前日期的3天后过期            
Response.Cookies.Add(cookie);

为什么要设置cookie？类似于免登录3天，当用户成功登录后，把用户登录名保存到cookie，那么下次再打开浏览器的时候，浏览器就可以根据cookie值发送到服务器自动登录

6. 跳转到指定页面

Response.Redirect("index.aspx");

成功登录以后，我们就可以执行上面的代码，跳转到指定页面。

由于最近项目逼得挺紧的（加上年会活动排练囧！！），也很久没有写博客，于是选了“登录”这个题目练练手。毕竟自己还是有思路的

再参考别人的源码和结合自己的经验，这篇博文断断续续写了一个多星期，不容易

对于一些已经在工作的程序员来说，这种简单的登录功能的确很简单，所以比较适合初入ASP.NET的同学。。

欢迎批评点正。