请问使用Session实现自定义身份验证，比Forms窗体身份验证好么？

[lufree]

现在有一个系统，我使用了Session自定义的身份验证：

即在Global.asax.cs中的Session_Start方法中写入：

Session["User"] = null;//用户类
Session["LoginOK"] = "0";//用户是否已经登录，0：未登录；1：已经登录

然后在用户登录，判断用户名密码正确以后，将相关的值写入上述的Session，

User user = new User;
........
Session["User"] = user;//用户类
Session["LoginOK"] = "1";//用户是否已经登录，0：未登录；1：已经登录


然后当用户点击注销时，再次往Session中写入

Session["User"] = null;//用户类
Session["LoginOK"] = "0";//用户是否已经登录，0：未登录；1：已经登录


然后当某些页面需要用户登录再访问时，就查询Session["LoginOK"]是不是等于1，等于1则为已经登录，否则为未登录。


请问这种自定义的实现登录的方法，比起.net自身的Forms窗体身份验证如何？我认为安全性要高一些吧？应该是更可靠？虽然写起来麻烦一些。


请各位指教，谢谢了！

[kyouken2007]

n个页面岂不是要写n此判断？

[lufree]

那倒不用，继承一个类就可以

[kyouken2007]

如果不登陆，直接输入要访问的地址那怎么办？
还要再写代码来控制吧。
Forms验证都做好了为啥不用呢，
另外，为什么你觉得这样比Forms验证安全性高呢？

[lufree]

直接输入要访问的地址，回被转到登陆页面。


我这个系统分为个人用户和企业用户，两种，如果非要用Forms验证只能用角色来实现了

[kyouken2007]

我觉得其实问题都是一样的。
不用forms要通过用户名来判断身份。
用forms也可以不用角色，直接通过用户名来判断。
我觉得问题不在这里。

自己写也无所谓，条条大陆通罗马嘛。
ms只是在让程序员省事，相对安全的前提下，整出那些东西。

[闲游四疯]

E。。飘过~

[sxlfybb]

我的都是自己写的，所有需要认证的页面，继承自一个父类，在父类中进行权限检测。

[sxlfybb]

用了微软的东西，都不记得自己是干什么的了。

[LutzMark]

可行，
写个验证类或用2.0的母版页基类，写个用Session的验证方法
在具体页的Page_Load方法里调用验证方法
不登陆直接打地址也会被验证的

[deepinnet]

喜欢自己DIY，想怎么整就怎么整。出问题了自己也方便查找

[lufree]

ding

[yoursWTR]

用Session用户一多你服务器就嗝屁了，

[zyug]

唉.
asp.net就自带身份验证

比你这个.我认为还是ms稍微高明点

[lsq667]

microsoft自带的是没错，可能比自己的要写的好，但是怎么说也是自己写的东西用起来方便啊～～
而且验证上自己感觉比自带的要好，灵活，方便

[lufree]

ding

[lufree]

顶一下！

[chzhu823]

如果你用母板页的话，可以将它每个页面的判断放在模板页里面，不需判断的不用母版页。
也可以做一个自定义控件，用来判断

[lufree]

顶一下！