观其大略：
1.
Asp.net是依存于 IIS的一个服务，说到 Asp.net的安全相关的话题当然要有一个整体上的思路： IIS接收 —》 IIS验证 —》 IIS授权 ---》 ASP.net验证 ---》 Asp.net授权 ---》资源返回给用户
IIS从网络上接收到一个 HTTP WEB请求可以使用 SSL技术来保证服务器的身份，此外 SSL也可以提供一个安全通道来保护客户端和服务器端的机密数据的传送。 IIS使用基本 摘要式 或者其它的方式验证用户，如果网站中的大部分内容不需要验证就可以设定为匿名验证。验证之后是授权，通过授权 IIS来允许或者禁止用户访问某资源。 IIS可以使用 ACL定义的 NTFS权限或者针对 IP地址的客户端授权。
IIS把 Windows存取令牌传送到 Asp.net，如果 IIS使用的是匿名验证则为匿名 Internet使用者的存取令牌（ IUSER_MYMACHINE）。
ASP.net验证访问者（有三种方式）。 Asp.net授权所需要的资源或者操作（有两种授权方法）。
Asp.net中程序的代码使用特别的身份来存取本机或者远程资源。
2.
身份验证 ：身份验证就是一个解决谁有权力进入系统的问题，通常的做法就是跟系统维护的用户名单进行核对，这样转化为一个实际的技术问题：如果有效的判断一个用户是不是系统的有效用户。这个过程就是 —Authentication(身份验证 )
专业说法：接收用户凭据，并根据指定的颁发机构来验证凭据的过程成为身份验证
3.
Asp.net 提供三种身份验证方式： Windows验证 、 Forms验证 、 Passport验证
身份验证的使用是通过配置 Web.config文件的 < Authentication >配置节来实现的。
4.
授权 ：授权就是确认用户拥有足够的权限来访问请求的资源
5.
Asp.net 提供两类授权服务：文件授权服务 、 URL授权服务
说点细节
1.
< Authentication >配置节 mode可用的参数： None Windows Forms Passport
2.
Windows:IIS 根据程序的设置执行身份的验证 (基本 简要 或者集成 Windows)
注意使用这种验证方式 IIS中必须要禁用匿名访问。
3.
Windows 验证适用于受控环境中，比如企业的 Intranet
4.
Foms 这种验证使用 Cookie保存用户凭证，并将未将验证的用户重定向到登录页。通常这是的 IIS配置为匿名访问
5.
Forms 适合部署于互联网的网站应用
6.
Passport 验证是通过微软的集中身份验证服务执行的，它为成员站点提供单点登录和配置文件服务
7.
Passport 适用于跨站点应用，一旦用户注销所有的护照信息就会清除，可以在公�
ValidationSummary:该空间的作用是把所有验证错误的列表显示在页面的同一个地方。
属性：DisplayMode:显示错误信息的方式：BulletList放在<ul><li></li></ul>里；List放在<div>错误1<br/>错误2</div>中，不同信息使用<br/>隔开；SingleParagraph放在<div>& ......
