为什么需要登录认证？

在我们日常的网站开发中，为了保证网站的安全性，我们需要对网站进行登录认证。登录认证可以让我们确认用户的身份，保护用户的隐私，防止恶意攻击和非法操作。

基础认证和表单认证

在.net core mvc中，我们可以通过基础认证和表单认证来对用户进行身份认证。基础认证是指将用户名和密码以base64编码后放在header中传输，这种方法非常不安全，容易被黑客攻击。而表单认证是指将用户名和密码通过post方法传输到服务器，同时在服务器生成cookies进行身份验证。不过在这种方法下，我们需要保护cookies的安全性，否则被窃取的cookies将可以被用于攻击。

使用Identity进行用户认证

在.net core mvc中，我们可以使用Microsoft.AspNetCore.Identity进行用户认证。使用Identity可以方便地实现基于角色的身份验证，密码验证和持久化用户身份验证信息。同时，Identity还提供了一些常用的用户管理操作，如重置密码，发送验证邮件等功能。

使用JWT进行身份验证

JWT【Json Web Token】是一种基于token的身份验证协议，其特点是轻量化、可移植性强、安全性高，不需要在服务端保存用户的认证信息。在.net core mvc中，我们可以使用Microsoft.AspNetCore.Authentication.JwtBearer进行JWT身份验证。使用JWT身份验证可以有效避免cookie劫持等安全问题，并且适用于分布式环境。

防止跨站请求伪造【CSRF】攻击

在.net core mvc中，我们可以使用AntiForgeryToken来防止跨站请求伪造攻击。使用ValidateAntiForgeryToken可以确保用户提交的表单数据是来自当前站点的，并且只有当服务器端存在匹配的AntiForgeryToken时，才能够验证成功。这样可以有效防止第三方网站对我们的网站发起伪造请求攻击。

实践

实践包括一些常见的网站安全措施，如密码复杂度要求、密码过期时间限制、账号锁定机制、IP限制等等。同时，我们还需要保证代码的质量，尽可能避免XSS和SQL注入等安全问题。