SQLログインasp.net

Question

protected void btnLogin_Click(object sender, EventArgs e) 
{ 
    string cs="Data Source=Dev-PC;Initial Catalog=CodeSolution;User ID=sa; password=12345678" 
    SqlConnection con = new SqlConnection(cs); 
    con.Open(); 
    String sqlCommand = "SELECT * FROM tblLogin WHERE "+ 
        "username = @user AND password = @pwd" 
    SqlCommand cmd = new SqlCommand(sqlCommand, con); 
    cmd.Parameters.AddWithValue("@user", TextBox1.Text); 
    cmd.Parameters.AddWithValue("@pwd", TextBox2.Text); 
    SqlDataAdapter da = new SqlDataAdapter(cmd); 
    DataTable dt = new DataTable(); 
    da.Fill(dt); 
    if (dt.Rows.Count > 0) 
    { 
     Response.Redirect("Details.aspx"); 
    } 
    else 
    { 
     Response.Write("<script>alert('Please enter valid Username and Password')</script>"); 
    } 
} 

以下のように私は、基本的なログインフォームを作成した。しかし、これは、ログイン人々がDetails.aspxのURLを推測するかもしれないのでずに考えて私を得た

これで、ログインが成功した場合、tblLoginに列を追加して、そのユーザーのsessionIDを保存することができますか？ 次に、セッションIDがそのユーザーのtblLoginのものと等しいかどうかを確認するだけです。と（poormansolutionは、IISサーバー

で知られているように

• がどのようにtblLoginにセッションIDを保存するためにこれは、またはそれが許容できるようになります：

  私はこれについて、ここで2つのことを思ったんだけどそれぞれのASPページが有効なセッションIDと照合する機能で始まるという欠点）。削除

つのエラー、その今=

Answer 1

SqlCommandオブジェクトでのLIKEは、あなたの質問への答えを正確ではないが、これは良いガイド/アドバイスになります。

セッションIDを持っているというあなたの考えは、あなたのサイト/システムの要件によってはまったく悪くありません。しかし、この場合、IISからのセッションではなく、それを解読する必要があるため、インライン攻撃（データベース/ルートフォルダへのアクセスを可能にする）に脆弱になります。

ここでは、ログイン時のセッションのセッションIDを取得する方法ではなく、IIS（ロギングのためにこれを使用することができます）からの例です：

string sessionId = System.Web.HttpContext.Current.Session.SessionID;

やデータベースの設計どおり、よりよい持っていますユーザーのセッションを記録するための別のテーブル。

Answer 2

だから、多くのことが間違っているようですが、適切な回答を書くと自動的にこの質問が広すぎます。私は試してみましょう：

• 接続文字列をハードコードしないでください。設定ファイルに保存し、名前で参照してください。
• saアカウントを開発用に使用することはありません。
• テーブルの接頭辞をtblとしないでください。冗長です。
• ユーザー名とパスワードにlikeを使用しないでください。完全一致が必要です。
• パスワードを平文で保存しないでください。
• 「人々はDetails.aspxのURLを推測するかもしれない」 - あなたが許可を確認するすべてのアクションに（が「このアクションを実行することができ、このユーザーです」）。

これらの問題をすべて解決する方法を説明するには、あまりにも多くの労力が必要です。承認と認証と呼ばれるホイールを再構築しないでください。このためには、安全でテスト済みのサポートされたライブラリを使用してください。

ASP.NET Membershipまたはその後継ASP.NET Identityを参照してください。