菜鸟提问了，大家请帮忙！--急用，请大家多多帮忙，谢谢。

[pc809]

在一个ASP管理系统中，用户通过一个登录页面登录，并以此区分用户权限。要求权限
低的用户不能访问某些页面，且不能用cookie。
我用的方法是限制访问路径，一个页面必须通过确定的上一级页面访问，这是一个苯方
法，大家有什么别的好方法？

[iamfancy]

如果不用 Cookie，我估计没有什么好方法。Session 实际上也是用的 Cookie 啊

[pc809]

刚看到一篇文章，来自www.chinaasp.com
“在首页对来访用户做了密码认证之后,如何把密码传给下续的各页面去呢?
答：有三种方法
1.type=hidden 传一个标记
2.session,cookie
3.加密header?xxx=$xxx ”
我想问的就是这个，请大家评价一下那种方法好，主要基于安全性考虑。

[tripofdream]

1.type=hidden 传一个标记 不安全
2.session,cookie 安全性较好,操作简单
3.加密header?xxx=$xxx 安全性要看加密算法,操作复杂

[feiyunge]

在数据库中设置用户级别

再在每个页面上验证身份^&^

[pc809]

谢谢大家！

[freezwy]

这个很简单，一般的操作是这样的。
数据库中设置权限字段，记录每个用户的权限，当然这个是你能完全控制的。
在登陆后，记入session("permission")=rs("permission")
<%
if session("permission")="" or isnull(session("permission")) then
'说明用户没有登陆，可以有其他判断
response.redirect "login.asp"
end if
if session("permission")=xx then
response.write "你不能访问"
response.end
end if
%>
当然权限的控制还有使用其他方法，这种适合比较少的权限控制，如果很多权限，可以考虑使用一个标志开关的有0和1组成的30或者更多位数字串表示，应用时使用自己写的函数判断就是了。

[pc809]

谢谢大家！
Http是不保持连接状态的,理想的Web系统也应该如此，这样可以最大的发挥服务器的性能，所以
我提出这样的问题，就是想向大家请教一下，在不保持连接状态的情况下，如何维护用户状态？
如果数据库支持的话，我想存储过程应是最佳方法。请问大家知不知道各大网站是如何维护用户状态的？一般个人网站和中小型网站又是维护用户状态的？
请指教！谢谢！

[yousp]

维护用户状态通常有几种方法，我觉得Cookie,Session比较理想的！

[meimeikeai]

你可以在数据库中设置权限。

[freezwy]

经我研究发现，大部分都是用了主动和被动刷新数据库或者SESSION（取决于保存用户状态的使用方法）来解决的。
规定一个时间，如果不活动就认为过时了，当有新用户进入时，其他用户的状态被动刷新一次，可以说是检测一次，用户的活动也导致因为权限的需要而检测。就这些了。

[loneboy]

我看过了一些大的网站，
比如说”大富翁论坛“的源代码，
他们都是用session来处理的。
如果你觉得你要时间长一点的话，
你可以设置
timeout=长一点的时间，
它默认是20分钟！
这样子处理起来比较简单，方便。
hope this tips will help u.

[pc809]

up

[pc809]

up

[xhuayu]

up

[pc809]

假如浏览器的cookie被关闭,那么session也就不能用了,这样如何维护用户信息呢?
我原是用在页面间传递参数的方法,可是却发现这样干更不安全,用以标识用户权限的参数太容易
泄露了,现在是用隐藏窗体传递,大家还有更好的方法吗?
新浪.网易他们是如何作的呢?

to loneboy:
你是DFW吗?

[pc809]

抱歉，因种种原因，把问题拖到现在，非常抱歉！