Question

我正在使用ASP.NET 4.5 OWIN Identity并尝试阻止所有经过身份验证的用户访问目录。该目录包含原始文件，因此无法将它们包装在ASP LoggedInTemplate标记中。

当我尝试阻止匿名用户访问目录时，它会失败。

我尝试将以下内容添加到主Web.config文件中：

<system.web>
    <authorization>
        <deny users="?" />
    </authorization>
</system.web>

<location path="/docs">    
    <system.web>
        <authorization>
            <deny users="?" />
        </authorization>
    </system.web>
</location>

执行此操作会出现服务器500错误并突出显示位置路径=＆＃34; / docs＆＃34; line作为错误的来源。这是一个托管解决方案，因此我无法使用更改IIS服务器配置以允许覆盖的选项，但对于遇到此问题的任何人来说，这似乎是一个潜在的解决方案。

我现在已从主web.config中删除了上述内容，并在我要保护的目录中添加了一个单独的web.config文件。新的web.config包含：

<?xml version="1.0"?>
<configuration>
    <system.web>
      <authorization>
        <deny users="?" />
      </authorization>
    </system.web>
</configuration>

这没有任何错误，但允许未经身份验证的用户访问该文件夹，这正是我想要阻止的。

任何有关如何解决此问题的文章的任何想法或指示都将非常感激。

Answer 1

我的环境的解决方案是使用子目录中的web.config文件，但要为相关文件类型添加自定义处理程序定义。

<?xml version="1.0"?>
<configuration>
    <system.web>
      <authorization>
        <deny users="?" />
      </authorization>
    </system.web>
  <system.webServer>
    <handlers>
      <add name="PDFHandler" verb="*"
        path="*.pdf"
        type="System.Web.StaticFileHandler"
        resourceType="Unspecified" />
    </handlers>
  </system.webServer>
</configuration>

然后，Web服务器仅允许经过身份验证的用户访问子目录中的文件。

本文引出了我的解决方案：http://www.primaryobjects.com/CMS/Article112

ASP.NET标识 - 保护目录免受未经身份验证的用户的攻击

1 个答案: