ASP.NET 身分驗證全解析：七大 IIS 驗證模式與 Forms Authentication 實戰

為什麼需要身分驗證？

Web 應用程式預設為匿名存取，若無驗證機制，任何人皆可存取受保護資源。身分驗證 (Authentication) 確認「你是誰」，授權 (Authorization) 決定「你能做什麼」。ASP.NET 搭配 IIS 提供多層次驗證選項。

IIS 7.5+ 七大驗證模式總覽

實測：基本驗證 + SSL 風險示範

1. IIS 僅啟用「基本驗證」，其餘停用。
2. 瀏覽器存取會彈出登入對話框 (IE/Firefox/Chrome 樣式不同)。
3. 輸入正確 Windows 帳密即可存取；錯誤回傳 401.2。
4. 抓包分析：Authorization 標頭為 Basic base64(user:pwd)，Base64 可瞬間解碼，**務必強制 HTTPS**。

Windows 驗證補充

• 非 IE 瀏覽器 (Firefox/Chrome) 亦支援 NTLM/Kerberos，無須僅限 IE。
• 適用內部系統，外部網站不建議直接暴露 Windows 驗證。

匿名驗證本質

實際上以內建帳號 IUSR 或自訂帳號執行，適合公開內容；搭配 Windows 驗證可實現「公開瀏覽、登入操作」混合模式。

重點：Forms Authentication (表單驗證)

ASP.NET 專屬、最彈性、最常用的驗證方式：

• 自訂登入頁面 (Login.aspx) + 資料庫驗證帳密。
• 驗證成功寫入加密 Cookie (FormsAuthenticationTicket)。
• web.config 設定 <authentication mode="Forms"> 保護路徑。
• 整合 RoleProvider、MembershipProvider 實現角色授權。
• 支援 SlidingExpiration 滑動過期、Cookieless 模式。

結語與後續規劃

本文概述 IIS 七大驗證模式與實測細節。Forms Authentication 為公開網站主流選擇，後續將深入探討：

1. Forms Authentication 完整實作 (登入、登出、票證更新)。
2. 自訂 MembershipProvider 與 RoleProvider。
3. ASP.NET Identity / ASP.NET Core Identity 現代化架構。
4. OAuth 2.0 / OpenID Connect 第三方登入整合。

敬請期待後續系列文章！