ASP varnost

Za dostop do strani potrebujem uporabniško ime in geslo. Če je geslo pravo, potem lahko obiskuješ ostale strani. Na kak način naj strežniku povem da ima uporabnik dostop do strani? Zdaj to delam z session, v katerega vpišem nek string in potem na vsaki strani preverim če je ta string ustrezen. A je to vredu metoda?

Kako preprečiti SQL injection pri vpisovaju gesla - a je dovolj če dovolim vpisovanje samo alfanumeričnih znakov in številk?

Nekje bo gumb "odjava" - kaj je potrebno tukaj naštimati? Zbrisati session? Preusmeriti na novo stran?

Delam v visual studiu 2003, c# web aplikacija

v web.config sem dodal:

    <authentication mode="Forms"> 
      <forms loginUrl="Prijava.aspx" protection="All" timeout="1"></forms>
    </authentication>

    <authorization>
        <allow users="?" /> <!-- Allow all users -->

Default.aspx (PageLoad):

      if (!User.Identity.IsAuthenticated)
      {
        Response.Redirect("Prijava.aspx");
      }

Grem na default.aspx, me vrže na Prijava.aspx, vpišem geslo, me vrže na Default.aspx. To dela vredu. Samo timeour imam naštiman na 1 minuto. Tudi če sem dlje časa na Default.aspx, me ne da nazaj na Prijava.aspx.
Zakaj to?

Tam spremeni na deny users="?".


by Miha