4

Gostaria de saber como faço para bloquear o acesso quando o usuário não está logado no sistema, porém, a única página que pode ser acessada é a de Login e quando ele tentar acessar qualquer outra página redirecione para página de login, forçando o usuário a se logar no sistema.

Vi que essas permissões podem ser feitas no meu web.config, alguém pode me ajudar?

4 Respostas 4

5

Apenas complementando a resposta do @RichardDias, a configuração do Web.config varia de tecnologia para tecnologia.

ASP.NET Identity

<configuration>
  ...
  <system.webServer>
    <modules>
      <remove name="FormsAuthentication" />
    </modules>
  ...
  </system.webServer>
  ...
</configuration>

App_Start/Startup.Auth.cs

    public void ConfigureAuth(IAppBuilder app)
    {
        ...
        app.UseCookieAuthentication(new CookieAuthenticationOptions
        {
            AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
            LoginPath = new PathString("/Account/Login"), // <-- Aqui
            Provider = new CookieAuthenticationProvider
            {
                OnValidateIdentity = SecurityStampValidator.OnValidateIdentity<ApplicationUserManager, ApplicationUser>(
                    validateInterval: TimeSpan.FromMinutes(30),
                    regenerateIdentity: (manager, user) => user.GenerateUserIdentityAsync(manager))
            }
        });   
        ...
    }
}

ASP.NET Membership

<configuration>
  ...
  <system.web>
    <compilation debug="true" targetFramework="4.5" />
    <httpRuntime targetFramework="4.5" />
    <authentication>
      <forms loginUrl="~/Account/Login" timeout="2880" />
    </authentication>
  ...
  </system.web>
...
</configuration>
1
  • 1
    Ótimo, vou implementar aqui no meu código. Obrigado @Cigano. Commented 25/08/2015 às 14:31
5

Nos controllers que você deseja somente acesso autenticado coloque o atributo [Authorize]. Esse atributo verifica se o usuário está autenticado e se não tiver redireciona para o caminho de login informado no web.config. Fazendo isso o seu controller deverá ficar assim:

[Authorize]
public class InicioController : Controller
{
    ...
}

É possível verificar também se o usuário está autenticado usando User.Identity.IsAuthenticated. Utilizando isso você pode servir conteúdo para quem não está auntenticado de forma diferenciada por exemplo.

Só não esqueça que no seu controller de login não deve ter o atributo [Authorize].

3
  • Eu coloquei o [Authorize] nas controllers, porém não sei como configuro isso no meu web.config. Commented 25/08/2015 às 13:38
  • @RaphaelGumm Ao iniciar um projeto ASP.NET MVC com Individual User Accounts, isto já vem configurado por padrão. Ainda precisa do trecho em específico? Commented 25/08/2015 às 14:07
  • @CiganoMorrisonMendez por favor, estou meio perdido ainda com isso. Commented 25/08/2015 às 14:11
0

Basta adicionar a linha abaixo no Page_Load das páginas de acesso restrito ou na Master Page se for o caso.

    Response.AppendHeader("Refresh", String.Concat((Session.Timeout * 60),";URL=/Login.aspx"));
0

Raphael basta você verificar a variável de seção, se caso exista alguma sessão com o ID valido, ele permite o acesso quando não ele redireciona.

Como sabemos a melhor e mais segura maneira de transferir informação entre diferentes forms no asp.net é utilizando variáveis de Sessão. Nas variáveis de Sessão podemos armazenas qualquer tipo de objeto, desde robustos DataSets até simples integers e/ou Strings.

O único problema dessas variáveis é que conforme vamos criando novas variáveis, nossa aplicação vai ficando mais lenta e exigindo mais recursos do servidor. Então é aconselhado ir removendo as variáveis conforme não precisarmos mais delas.

Pelo fato do Intelissense do Visual Studio não identificar as variáveis de sessão que declaramos, as vezes esquecemos de remover determinada variável, isso pode acabar gerando sérios problemas de performance, e até gerando erros de execução na nossa aplicação.

Para isso vamos criar uma rotina que irá varrer a coleção de variáveis de Sessão e nos exibir o nome de cada uma, e o valor/tipo de cada variável de sessão declarada na nossa aplicação.

Para isso adicione um novo formulário aspx no seu projeto chamado ver_session.aspx,

no Evento Load da nossa página, acrescente o seguinte código:

Pronto, agora conforme formos rodando nossa aplicação, podemos abrir uma nova aba/janela do browser e acessar diretamente pela url a página ver_session.aspx, da nossa aplicação. Nela temos o nome e o valor de cada Variável de Sessão!

Retirado de.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .