在ASP.NET开发中，用户认证是一个核心功能。随着技术的发展，出现了多种用户认证方式。SimpleMembershipProvider是WebMatrix团队推出的一种新的认证方式，它被认为代表了ASP.NET用户认证的未来。然而，它在实际应用中存在一些局限性和问题。本文将深入探讨SimpleMembershipProvider的工作原理、存在的问题以及如何改进。
SimpleMembershipProvider是基于MembershipProvider抽象类的一个扩展，它提供了一种更简洁的用户认证方式。与旧的MembershipProvider相比，SimpleMembershipProvider支持更灵活的认证方式，包括基于令牌的账户确认功能和新的密码锁定行为。此外，它还与Entity Framework紧密集成，支持Code-First开发模式，可以绑定到现有的用户表/模式。
尽管SimpleMembershipProvider提供了许多新特性，但它在与旧的MembershipProvider集成时存在一些问题。以下是一些主要的局限性：
SimpleMembershipProvider与旧的Membership系统存在兼容性问题。例如，许多旧的Membership数据库列已经被移除，如LastLoginDate。此外，WebSecurity支持新的基于令牌的账户确认功能，并引入了新的密码锁定行为，这与旧系统不自然兼容。
这些变化的后果是，使用旧API时返回的MembershipUser现在只支持UserId/UserName。其他属性，如Email、IsApproved、CreatedDate、IsLockedOut将返回默认值。当按设计使用时，这不是问题，因为新系统依赖于Entity Framework模型而不是MembershipUser向应用程序公开数据。只有在SimpleMembershipProvider被用在MembershipProvider的上下文中时，功能才会丢失。例如，解锁被锁定账户的能力，甚至创建新用户账户的能力。这些场景现在只能通过WebSecurity API实现，将提供者插入为旧系统编写的现有用户管理界面将不起作用。
与上述兼容性问题相关，使用SimpleMembershipProvider在MembershipProvider的上下文中时，还有其他后果。由于密码锁定功能现在是基于超时和最大重试次数重新设计的，这意味着旧系统无法看到这些状态。因此，ValidateUser方法现在即使在账户被锁定的情况下也会返回成功。这实际上与新API一致，它将检查锁定状态的责任转移到应用程序，但当插入到围绕原始会员系统构建的代码中时，肯定会引入安全漏洞。
最后，SimpleMembershipProvider不支持许多旧API，如果被调用，将返回NotSupportedException。这些函数可能在没有存储过程的情况下难以实现，或者与新设计的新架构/方法不兼容。不支持的MembershipProvider函数包括：
从表面上看，SimpleMembershipProvider通过扩展现有的MembershipProvider，提供了两全其美的方法。实际上，这种关系并没有提供任何有价值的向后兼容性，如果在这样的场景中使用，可能会轻易引入安全漏洞。
[HttpPost]
[AllowAnonymous]
[ValidateAntiForgeryToken]
public ActionResult Login(LoginModel model, string returnUrl)
{
if (!ModelState.IsValid)
{
ModelState.AddModelError("", "用户名或密码不正确。");
}
else if (WebSecurity.IsAccountLockedOut(model.UserName, 10, 3600))
{
ModelState.AddModelError("", "输入密码错误次数过多，请在一小时后重试。");
}
if (ModelState.IsValid && WebSecurity.Login(model.UserName, model.Password, persistCookie: model.RememberMe))
{
return RedirectToLocal(returnUrl);
}
return View(model);
}