asp.net2.0用户角色安全问题

 1

这是Global.ascx中的代码
 2    protected void Application_AuthenticateRequest(Object sender, EventArgs e) 
 3    { 
 4        if (HttpContext.Current.User != null)//如果当前的http信息中存在用户信息  
 5        { 
 6            if (HttpContext.Current.User.Identity.IsAuthenticated)//如果当前用户的身份已经通过了验证  
 7            { 
 8                if (HttpContext.Current.User.Identity is FormsIdentity) 
 9                { 
                    //如果当前用户身份是FormsIdentity类即窗体验证类,此类有个属性能够访问当前用户的验证票  
                    FormsIdentity fi = (FormsIdentity)HttpContext.Current.User.Identity;//创建个FormsIdentity类,用他来访问当前用户的验证票  
                    //获得用户的验证票  
                    FormsAuthenticationTicket ticket = fi.Ticket; 
                    //从验证票中获得用户数据也就是角色数据  
                    string userData = ticket.UserData; 
                    //把用户数据用,分解成角色数组  
                    string[] roles = userData.Split(','); 
                    //重写当前用户信息,就是把角色信息也加入到用户信息中  
                    HttpContext.Current.User = new GenericPrincipal(fi, roles); 

                } 
            } 
        } 
    } 

 

 

这里是登录模块的代码 

protected void lblogin_Click(object sender, EventArgs e) 
 2    { 
 3        string uname=this.TextBox1.Text; 
 4        string pwd = this.TextBox2.Text; 
 5string roles = null; 
 6        bool check = RoleData.RoleControl(uname, pwd,out roles); 
 7if (check) 
 8{ 
 9//创建一个新的验证票FormsAuthenticationTicket 
FormsAuthenticationTicket ticket = new FormsAuthenticationTicket( 
1,//票版本号 
uname,//用户名 
DateTime.Now,//生成cookie时间 
DateTime.Now.AddMinutes(20),//cookie的有效时间 
false,//是不是永久存在的cookie 
roles);//从数据库读到的用户角色数据 

//把验证票加密 
string hashTicket = FormsAuthentication.Encrypt(ticket); 

//设置验证票cookie,第一个参数为cookie的名字,第二个参数为cookie的值也就是加密后的票 
HttpCookie cookie = new HttpCookie(FormsAuthentication.FormsCookieName, hashTicket); 
//把cookie加进Response对象发生到客户端 
//得到请求的url 
Response.Cookies.Add(cookie); 
string requestUrl = FormsAuthentication.GetRedirectUrl(FormsAuthentication.FormsCookieName, false); 

//不要使用FormsAuthentication.RedirectFromLoginPage方法,因为这个方法会重写cookie 
//重新定向到请求的url 
if (requestUrl != null) 
{ 
Response.Redirect(requestUrl); 
} 
else 
{ 
Response.Redirect("index.aspx"); 
} 
} 
else 
{ 
this.lbcheck.Text = "用户名或者密码错误,请重试!"; 
this.lbcheck.Visible = true; 
} 
    } 
}