mrkt 的程式學習筆記: ASP.NET MVC + ELMAH 監控並記錄你的網站錯誤資訊 2

2011年10月10日星期一

ASP.NET MVC + ELMAH 監控並記錄你的網站錯誤資訊 2

上一篇文章「ASP.NET MVC + ELMAH 監控並記錄你的網站錯誤資訊 1」有遇到一個問題，那就是原先ELMAH所預設的設定會讓任何人都可以看到ELMAH記錄，對於網路的安全性就有極大的危險，因為錯誤記錄都記錄了許多的資訊，除了客戶資訊外也包含了Server的環境資訊，甚至於錯誤的程式碼位置'、輸入的機密資料等，怎麼可以讓任何人說進來就進來呢？

所以有些安全性的設定還是要記得去修改、去設定，免得讓有心人竊取資料或是毀損資料。

一般來說，ELMAH要去增加安全設定，不讓任何閒雜人等擅闖，就要修改Web.Config的設定，如下：

  <elmah>
    <errorLog type="Elmah.XmlFileErrorLog, Elmah" logPath="~/App_Data/Elmah.Errors" />
  <security allowRemoteAccess="yes" />
  </elmah>
  <location path="elmah.axd">
    <system.web>
      <authorization>
        <allow roles="Admin"/>
        <deny users="*"/>
      </authorization>
    </system.web>
  </location>

但是ELMAH.MVC就不需要，因為已經把權限設定的地方改在Controller中，使用AuthorizeAttribute，

預設的程式中，是預設把Controller上的AuthorizeAttribute給註解起來，

而我們只要把這個這解給移除就可以，

這時候要是我們直接進入~/Admin/Elmah的話，就會被導到登入頁面

不過這也要你事先把登入頁面(AccountController / LogOn)給做好，另外在Web.Config有設定（預設都會設定）

    <authentication mode="Forms">
      <forms loginUrl="~/Account/LogOn" timeout="2880" />
    </authentication>

這邊我是透過Forms Authentication來處理登入的權限認證，在Global.asax中增加Application_AuthenticateRequest()方法

    /// <summary>
    /// Handles the AuthenticateRequest event of the Application control.
    /// </summary>
    /// <param name="sender">The source of the event.</param>
    /// <param name="e">The <see cref="System.EventArgs"/> instance containing the event data.</param>
    protected void Application_AuthenticateRequest(Object sender, EventArgs e)
    {
      bool hasUser = HttpContext.Current.User != null;
      bool isAuthenticated = hasUser && HttpContext.Current.User.Identity.IsAuthenticated;
      bool isIdentity = isAuthenticated && HttpContext.Current.User.Identity is FormsIdentity;
      if (isIdentity)
      {
        // 取得表單認證目前這位使用者的身份
        FormsIdentity id = (FormsIdentity)HttpContext.Current.User.Identity;
        // 取得 FormsAuthenticationTicket 物件
        FormsAuthenticationTicket ticket = id.Ticket;
        // 取得 UserData 欄位資料 (這裡我們儲存的是角色)
        string userData = ticket.UserData;
        // 如果有多個角色可以用逗號分隔
        string[] roles = userData.Split(',');
        // 賦予該使用者新的身份 (含角色資訊)
        HttpContext.Current.User = new GenericPrincipal(id, roles);
      }
    }