👂🏽 ✨ 🥟 हम पासवर्ड के बिना किसी अन्य खाते के तहत साइट में प्रवेश करते हैं 🕵🏽 🧔🏼 🏻

अच्छा दिन है, आज मैं आपको बड़ी सेवा साइटों के समर्थन के बजाय एक उपयोगी तकनीक के बारे में बताता हूँ। अर्थात्, एक पासवर्ड के बिना एक साधारण उपयोगकर्ता के रूप में आपकी साइट तक पहुंचने की क्षमता (आप स्पष्ट पाठ में डेटाबेस में पासवर्ड स्टोर नहीं करते हैं?)।

परिचय

मान लीजिए कि आपके पास पहले से ही एक वेब साइट तैयार है, चल रही है, जीवंत है। और ऐसा हुआ कि विभिन्न उपयोगकर्ताओं के लिए यह दिखता है और अलग तरह से काम करता है, उदाहरण के लिए, भूमिकाओं, सुरक्षा नीतियों और अन्य व्यावसायिक तर्क के आधार पर। सरलता के लिए, आइए इंटरनेट बैंकिंग करें।

कार्य

व्यवस्थापक, या, उदाहरण के लिए, तकनीकी सहायता संचालक, एक विशिष्ट उपयोगकर्ता के रूप में लॉग इन करने की अनुमति दें। उदाहरण के लिए, उस उपयोगकर्ता को समझाना बहुत आसान है जिसने कॉल सेंटर को समस्या का समाधान अपनी आंखों से साइट को देखकर किया था।

निर्णय

मैं एक उदाहरण के रूप में ASP.NET MVC ले सकता हूं, हालांकि डॉलर के संकेतों और रत्नों के प्रशंसकों को अपने पसंदीदा ढांचे के समान कुछ लागू करने में सक्षम नहीं होना चाहिए। कोड के लिए कड़ी चोट न करें - यह चार साल पहले एक उदाहरण के रूप में लिखा गया था।

विंडोज ऑथेंटिकेशन दुनिया में, एक पूर्व-निर्मित, सुंदर समाधान है जिसे प्रतिरूपण कहा जाता है। यानी जब एक उपयोगकर्ता दूसरे का दिखावा करता है, तो उसे अपने अधिकार प्राप्त करने और अपनी ओर से कार्य करने की क्षमता मिलती है।

सब कुछ ठीक है, केवल हमारा काल्पनिक इंटरनेट बैंकिंग फॉर्म प्रमाणीकरण का उपयोग करता है यानी कुछ इस तरह के <प्रमाणीकरण मोड = "फ़ॉर्म" को web.config में लिखा गया है (जो समर्पित नहीं हैं: लॉगिन लॉगिन और पासवर्ड दर्ज करने के लिए एक नियमित वेब फ़ॉर्म के रूप में लागू किया जाता है)। इस मोड में, प्रतिरूपण बन्स का उपयोग करना काम नहीं करता है, लेकिन हम कुछ इस तरह से लागू करने का प्रयास कर सकते हैं।

सबसे पहले, AccountController.cs के लिए निम्न विधि जोड़ें (डिफ़ॉल्ट ASP.NET MVC प्रोजेक्ट के साथ बनाई गई):

public ActionResult Impersonate(string user) { //checking if user is logged in if (Request.IsAuthenticated) { //and checking if he is a super user if (Roles.IsUserInRole("admins")) { //saving current auth cookie for a later use HttpCookie cookie = Request.Cookies[FormsAuthentication.FormsCookieName]; cookie.Name = "__" + cookie.Name; Response.Cookies.Add(cookie); //logging out for current user FormsAuthentication.SignOut(); //making new user logged in without a password FormsAuthentication.SetAuthCookie(user, true); //redirect to some page here return RedirectToAction("Index", "Home"); } } //currently logged user has no rights to impersonate throw new SecurityException(); }

संपूर्ण बिंदु यह है कि एक अलग नाम के तहत वर्तमान उपयोगकर्ता में लॉग इन करने के लिए, यह जांचने के लिए कि क्या वह पासवर्ड की जांच किए बिना प्रशासक की भूमिका (या उदाहरण के लिए, "स्तर 3 तकनीकी सहायता ऑपरेटर") में प्रवेश करता है या नहीं। ऐसा करने के लिए, हम उसे एक नया संबंधित प्राधिकरण कुकी जारी करेंगे, और पुराने का नाम बदलें ताकि आप पासवर्ड को फिर से दर्ज किए बिना व्यवस्थापक मोड में वापस आ सकें।

चरणों में, यह इस तरह दिखेगा:

जांचें कि क्या उपयोगकर्ता लॉग इन है
जांचें कि क्या उसके पास किसी और के होने का नाटक करने के पर्याप्त अधिकार हैं
एक अलग नाम के तहत वर्तमान सत्र कुकी को सहेजें
हम किसी अन्य उपयोगकर्ता के लिए एक नया बनाते हैं, ठीक वैसे ही जैसे हम पासवर्ड की जांच के बाद सामान्य लॉगिन से करते हैं (यानी सदस्यता के बाद। अमान्य ईमेल ())
उदाहरण के लिए, मुख्य पृष्ठ पर पुनर्निर्देशित

नतीजतन, ब्राउज़र पहले से ही दो कुकीज़ प्राप्त करेगा और सर्वर वर्तमान सत्र को नियमित उपयोगकर्ता सत्र के रूप में अनुभव करेगा।

नव निर्मित विधि को कॉल करने के लिए, हमें उपयोगकर्ताओं की सूची के साथ एक नया पृष्ठ चाहिए। मैंने पूरी सूची नहीं दी, मुझे लगता है कि विचार स्पष्ट है:

 using (Html.BeginForm("Impersonate", "Account")) { var users = Membership.GetAllUsers(); // or Roles.GetUsersInRole(...) foreach (var userName in users) { ... } }

कुल मिलाकर, आवश्यक उपयोगकर्ता का चयन करने के बाद, व्यवस्थापक अस्थायी रूप से एक नियमित उपयोगकर्ता में बदल जाता है।

यह केवल व्यवस्थापक मोड पर लौटने की क्षमता जोड़ने के लिए बनी हुई है। हम नए तत्वों को जोड़कर साइट की उपस्थिति को बदलना नहीं चाहते हैं, इसलिए हम पहले से मौजूद निकास बटन का उपयोग करेंगे। ऐसा करने के लिए, हम मौजूदा निकास विधि (AccountController.cs में) का विस्तार करेंगे:

 public ActionResult LogOff() { //checking if we impersonated already HttpCookie cookie = Request.Cookies["__" + FormsAuthentication.FormsCookieName]; if (null != cookie) { //logging off FormsAuthentication.SignOut(); //restoring original auth cookie of a super user cookie.Name = FormsAuthentication.FormsCookieName; Response.Cookies.Add(cookie); //removing previosly saved auth cookie of a super user so we can logout normaly next time HttpCookie expired = new HttpCookie("__" + FormsAuthentication.FormsCookieName); expired.Expires = DateTime.Now.AddDays(-1); Response.Cookies.Add(expired); } else { //logging off in a ordinary fashion FormsAuth.SignOut(); } //redirecting return RedirectToAction("Index", "Home"); }

शुरुआत में, हम जांचते हैं कि पहले से सहेजे गए प्रशासक कुकी मौजूद हैं या नहीं। यदि हां, तो इसे वापस नाम दें, लेकिन सामान्य उपयोगकर्ता के बारे में भूल जाएं। नतीजतन, जब आप निकास बटन दबाते हैं, तो व्यवस्थापक अपने सामान्य वातावरण में वापस आ जाएगा। और फिर से बाहर निकलने वाले बटन पर क्लिक करने से यह पूरी तरह से लॉग आउट हो जाता है।

अंतिम परिणाम

साइट व्यवस्थापक में प्रवेश करें

वह उपयोगकर्ता चुनना जिसे हम बनना चाहते हैं

साइट को लगता है कि हम एक नियमित उपयोगकर्ता हैं

यदि आप ब्राउज़र में सहेजे गए कुकीज़ को देखते हैं, तो आप दोनों टोकन देख सकते हैं

लॉग ऑफ पर क्लिक करने के बाद, हम प्रशासक मोड पर लौटते हैं

तदनुसार, कुकीज़ को पुनर्स्थापित किया जाता है

यदि आप लॉग ऑफ पर फिर से क्लिक करते हैं, तो हम पूरी तरह से बाहर निकल जाते हैं

निष्कर्ष

कम से कम परिवर्तनों के साथ, हमने कुछ समय के लिए एक अन्य उपयोगकर्ता होने का दिखावा करने की क्षमता जोड़ी। इसके अलावा, साइट की उपस्थिति और तर्क को बदलने के बिना भी। हमारे वेब एप्लिकेशन के बाकी हिस्सों के लिए, इस तरह के जोड़तोड़ पूरी तरह से पारदर्शी हैं और कुछ भी नहीं तोड़ना चाहिए।

यह केवल उस तर्क पर सोचने के लिए रहता है, जिसे कोई भी होने का दिखावा कर सकता है। उदाहरण के लिए, उन समर्थन के ऑपरेटर व्यवस्थापक के रूप में लॉग इन नहीं कर सकते हैं।

यह जानना दिलचस्प है कि क्या किसी ने पहले से ही अन्य तरीकों से इसी तरह की योजना लागू की है? टिप्पणियों में सदस्यता समाप्त करें।

हम पासवर्ड के बिना किसी अन्य खाते के तहत साइट में प्रवेश करते हैं

परिचय

कार्य

निर्णय

अंतिम परिणाम

निष्कर्ष

More articles: