ASP.NET登录页面功能异常求助：权限验证与跳转故障

问题1：选择Admin登录类型时，普通用户凭证仍能登录 #

可能原因 #

• 登录逻辑未校验用户实际类型与选中的登录类型是否匹配，仅验证了账号密码正确性，忽略了类型维度的过滤。
• 用户验证逻辑（如数据库查询）未根据选中的Admin类型筛选用户，导致只要密码正确就通过验证。

修复步骤 #

1. 在Login.aspx.cs的登录验证方法中添加类型校验逻辑：
   获取用户选中的登录类型，验证账号密码的同时，确认用户实际类型与选中类型一致才允许登录。示例代码片段：

   string selectedType = ddlLoginType.SelectedValue;
   // 从数据库获取该账号对应的实际类型
   string userActualType = GetUserTypeByUsername(txtUsername.Text);
   
   if (IsCredentialsValid(txtUsername.Text, txtPassword.Text) && selectedType == userActualType)
   {
       // 执行登录成功逻辑
   }
   else
   {
       lblError.Text = "账号类型不匹配或凭证错误";
   }
   

2. 若使用Membership/FormsAuthentication体系，需验证用户角色：

   if (Membership.ValidateUser(txtUsername.Text, txtPassword.Text))
   {
       if (Roles.IsUserInRole(txtUsername.Text, selectedType))
       {
           FormsAuthentication.RedirectFromLoginPage(txtUsername.Text, false);
       }
       else
       {
           lblError.Text = "该账号不属于所选登录类型";
       }
   }
   

问题2：web.config配置的Admin/123无法登录，提示错误 #

可能原因 #

• web.config中凭证或认证节点配置错误，比如用户名/密码拼写失误、密码格式不匹配。
• 登录逻辑未读取web.config中的Admin静态凭证，仅查询数据库导致配置账号未被验证。
• Admin/Dashboard.aspx的权限配置错误，未允许Admin角色访问。

修复步骤 #

1. 检查web.config的凭证配置：
   若使用静态账号配置，确保节点正确：

   <appSettings>
       <add key="AdminUsername" value="Admin"/>
       <add key="AdminPassword" value="123"/>
   </appSettings>
   

   若使用Forms认证内置凭证：

   <system.web>
       <authentication mode="Forms">
           <forms loginUrl="Login.aspx" defaultUrl="Admin/Dashboard.aspx">
               <credentials passwordFormat="Clear">
                   <user name="Admin" password="123"/>
               </credentials>
           </forms>
       </authentication>
   </system.web>
   

2. 在Login.aspx.cs中添加Admin静态凭证的验证分支：

   if (selectedType == "Admin")
   {
       string configAdminUser = ConfigurationManager.AppSettings["AdminUsername"];
       string configAdminPwd = ConfigurationManager.AppSettings["AdminPassword"];
       
       if (txtUsername.Text.Equals(configAdminUser) && txtPassword.Text.Equals(configAdminPwd))
       {
           // 生成认证票据并跳转
           FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(
               1,
               configAdminUser,
               DateTime.Now,
               DateTime.Now.AddMinutes(30),
               false,
               "Admin",
               FormsAuthentication.FormsCookiePath);
           
           Response.Cookies.Add(new HttpCookie(FormsAuthentication.FormsCookieName, FormsAuthentication.Encrypt(ticket)));
           Response.Redirect("Admin/Dashboard.aspx");
           return;
       }
       else
       {
           lblError.Text = "Admin账号或密码错误";
       }
   }
   

3. 检查Admin目录的权限配置（在Admin文件夹下新建web.config）：

   <system.web>
       <authorization>
           <allow roles="Admin"/>
           <deny users="?"/>
       </authorization>
   </system.web>
   

4. 避免依赖RedirectFromLoginPage的默认跳转，直接指定Admin/Dashboard.aspx路径，防止被其他配置覆盖。

内容的提问来源于stack exchange，提问作者jonoms