使用ASP.NET Membership Provider的ASP.NET应用管理员用户存储替代方案咨询

利用ASP.NET Membership Provider内置角色系统实现 #

其实ASP.NET Membership Provider本身完全支持将用户和角色（包括管理员角色）存储到数据库，无需依赖web.config的键值对，具体步骤如下：

• 步骤1：初始化Membership数据库
  使用aspnet_regsql.exe工具（通常位于C:\Windows\Microsoft.NET\Framework\v4.0.30319这类路径），运行后跟随向导完成数据库初始化，工具会自动创建Membership所需的表（如aspnet_Users、aspnet_Roles、aspnet_UsersInRoles等）。

• 步骤2：配置web.config启用数据库存储
  修改web.config中的Membership和RoleManager节点，指向你的数据库：

  <system.web>
    <membership defaultProvider="SqlMembershipProvider">
      <providers>
        <clear/>
        <add name="SqlMembershipProvider" 
             type="System.Web.Security.SqlMembershipProvider" 
             connectionStringName="YourDBConnection"
             enablePasswordRetrieval="false"
             enablePasswordReset="true"
             requiresQuestionAndAnswer="false"
             applicationName="/"
             requiresUniqueEmail="false"
             passwordFormat="Hashed"
             maxInvalidPasswordAttempts="5"
             minRequiredPasswordLength="6"
             minRequiredNonalphanumericCharacters="0"
             passwordAttemptWindow="10"
             passwordStrengthRegularExpression=""/>
      </providers>
    </membership>
    <roleManager enabled="true" defaultProvider="SqlRoleProvider">
      <providers>
        <clear/>
        <add name="SqlRoleProvider" 
             type="System.Web.Security.SqlRoleProvider" 
             connectionStringName="YourDBConnection" 
             applicationName="/"/>
      </providers>
    </roleManager>
  </system.web>
  

  注意将connectionStringName替换为你实际的数据库连接字符串名称。

• 步骤3：创建管理员角色和用户
  可通过代码或ASP.NET网站管理工具（VS中点击「网站」→「ASP.NET配置」）操作：

  • 代码示例（可放在Global.asax的Application_Start方法中，建议仅首次运行时执行）：

    // 创建管理员角色
    if (!Roles.RoleExists("Admin"))
    {
        Roles.CreateRole("Admin");
    }
    // 创建管理员用户并分配角色
    if (!Membership.ValidateUser("adminUser", "adminPass"))
    {
        MembershipUser adminUser = Membership.CreateUser("adminUser", "adminPass", "admin@example.com");
        Roles.AddUserToRole(adminUser.UserName, "Admin");
    }
    

• 步骤4：判断用户是否为管理员
  替换原web.config读取逻辑，直接通过角色判断：

  if (User.IsInRole("Admin"))
  {
      // 展示管理员页面的逻辑
  }
  

其他可选方案 #

• 独立自定义配置文件
  创建独立的XML/JSON配置文件存储管理员信息，应用启动时读取该文件。升级应用时，通过安装脚本保留此文件，避免被新版本覆盖。
• 本地XML文件存储
  将管理员列表存储在App_Data目录下的XML文件中，同样需注意升级时保留文件，但这种方式安全性低于数据库，且无内置身份验证支持。

内容的提问来源于stack exchange，提问作者Neha Dalakoti