用户登录是个很常见的业务需求，在ASP.NET中，这个过程被称为身份认证。由于很常见，因此，我认为把这块内容整理出来，与大家分享应该是件有意义的事。
在开发ASP.NET项目中，我们最常用的是Forms认证，也叫【表单认证】。这种认证方式既可以用于局域网环境，也可用于互联网环境，因此，它有着非常广泛的使用。这篇博客主要讨论的话题是：ASP.NET Forms 身份认证。
有一点我要申明一下：在这篇博客中，不会涉及ASP.NET的登录系列控件以及membership的相关话题，我只想用比较原始的方式来说明在ASP.NET中是如何实现身份认证的过程。
ASP.NET身份认证基础
在开始今天的博客之前，我想有二个最基础的问题首先要明确：
1. 如何判断当前请求是一个已登录用户发起的？
2. 如何获取当前登录用户的登录名？
在标准的ASP.NET身份认证方式中，上面二个问题的答案是：
1. 如果Request.IsAuthenticated为true，则表示是一个已登录用户。
2. 如果是一个已登录用户，访问HttpContext.User.Identity.Name可获取登录名（都是实例属性）。
接下来，本文将会围绕上面二个问题展开，请继续阅读。
ASP.NET身份认证过程
在ASP.NET中，整个身份认证的过程其实可分为二个阶段：认证与授权。
1. 认证阶段：识别当前请求的用户是不是一个可识别（的已登录）用户。
2. 授权阶段：是否允许当前请求访问指定的资源。
这二个阶段在ASP.NET管线中用AuthenticateRequest和AuthorizeRequest事件来表示。
在认证阶段，ASP.NET会检查当前请求，根据web.config设置的认证方式，尝试构造HttpContext.User对象供我们在后续的处理中使用。在授权阶段，会检查当前请求所访问的资源是否允许访问，因为有些受保护的页面资源可能要求特定的用户或者用户组才能访问。所以，即使是一个已登录用户，也有可能会不能访问某些页面。当发现用户不能访问某个页面资源时，ASP.NET会将请求重定向到登录页面。
受保护的页面与登录页面我们都可以在web.config中指定，具体方法可参考后文。
在ASP.NET中，Forms认证是由FormsAuthenticationModule实现的，URL的授权检查是由UrlAuthorizationModule实现的。
如何实现登录与注销
前面我介绍了可以使用Request.IsAuthenticated来判断当前用户是不是一个已登录用户，那么这一过程又是如何实现的呢？
为了回答这个问题，我准备了一个简单的示例页面，代码如下：
- <fieldset><legend>用户状态</legend><form action="<%= Request.RawUrl %>" method="post">
- <% if( Request.IsAuthenticated ) { %>
- 当前用户已登录，登录名：<%= Context.User.Identity.Name.HtmlEncode() %> <br />
- <input type="submit" name="Logon" value="退出" />
- <% } else { %>
- <b>当前用户还未登录。</b>
- <% } %>
- </form></fieldset>
页面显示效果如下：
498)this.width=498;'' onmousewheel = ''javascript:return big(this)'' alt="" src="/uploadfile/201301/5/66151244123.png" />
根据
