Autorisation d'Url avec MVC et ASP.NET L'identité

[TL;DR;]

Accédez à "Complète de la racine web.config" pour voir le besoin web.config du programme d'installation.

testez ceci en mode incognito pour éviter les problèmes de mise en cache du navigateur! Et utiliser Ctrl+F5 parce que les scripts et les fichiers html sont mis en cache.

d'Abord refuser l'accès à tous les utilisateurs anonymes dans la racine web.config.

<authorization>
    <deny users="?"/>        
</authorization>

le web.config ici permet un dossier public accessibilité. Ce dossier, dans mon exemple ici, est appelé css et se trouve à la racine de l'application MVC. Pour le dossier css j'ajoute l'autorisation suivante au Web racine.config:

<location path="css">
    <system.web>
        <authorization>          
            <allow users="*"/>
        </authorization>
    </system.web>
</location>

Vous pouvez ajouter plus de ces emplacement des chemins si vous voulez plus de dossiers publics.

alors que tous les autres fichiers ne seront pas accessibles tant que l'utilisateur ne se connecte pas, le dossier css et son contenu seront toujours accessibles.

j'ai aussi ajouté une gestionnaire de fichiers statique vers le Web racine.config,ceci est critique car vous voulez que la requête soit gérée par le asp.net pipeline for the specific file type (s):

<handlers>
    <add name="HtmlScriptHandler" path="*.html" verb="*" preCondition="integratedMode" type="System.Web.StaticFileHandler" />
</handlers> 

Complet de la racine web.config

<system.web>
    <authentication mode="None" />
    <authorization>
        <deny users="?"/>        
    </authorization>
    <compilation debug="true" targetFramework="4.6.2" />
    <httpRuntime targetFramework="4.6.2" />
</system.web>
<location path="css">
    <system.web>
        <authorization>          
            <allow users="*"/>
        </authorization>
    </system.web>
</location>
<system.webServer>
    <modules>
        <remove name="FormsAuthentication" />           
        <remove  name="UrlAuthorization" />
        <add  name="UrlAuthorization" type="System.Web.Security.UrlAuthorizationModule"  />     
    </modules>
    <handlers>
        <add name="HtmlScriptHandler" path="*.html" verb="*" preCondition="integratedMode" type="System.Web.StaticFileHandler" />
    </handlers>      
</system.webServer>

---

ASP.NET par défaut, les règles allow et deny s'appliqueront uniquement aux fichiers traités par le gestionnaire géré. Les fichiers statiques ne sont pas gérés par le gestionnaire géré.

vous pouvez également définir: ( ne faites pas cela, si ce n'est pas vraiment nécessaire!)

 <modules runAllManagedModulesForAllRequests="true">

runAllManagedModulesForAllRequests="true" tous les modules HTTP s'exécuteront sur chaque requête, pas seulement sur les requêtes gérées (par exemple .aspx, ashx). Cela signifie que les modules s'exécutent sur chaque .jpg,.GIF., CSS., HTML. ,PDF. ,.. demande.

---

Une chose importante

Vous n'avez pas à ajouter L'UrlAuthorizationModule à la section modules car il fait déjà partie de la ASP.NET pipeline. Ce les moyens, il ne fonctionnera que pour les fichiers gérés, pas statique!

si vous supprimez maintenant puis rajoutez L'UrlAuthorizationModule à la section modules, il s'exécutera sous condition " integratedMode "et non plus sous" managedHandler"! Et ont donc accès à des fichiers statiques.

<remove  name="UrlAuthorization" />
<add  name="UrlAuthorization" type="System.Web.Security.UrlAuthorizationModule" />

---

Si vous définissez la condition préalable à gérer: <add name="UrlAuthorization" type="System.Web.Security.UrlAuthorizationModule" preCondition="managedHandler" />, alors L'UrlAuthorizationModule ne restreindra plus l'accès aux fichiers statiques.

Vous vous pouvez tester cela en accédant à un fichier de script dans le dossier scripts avec succès pendant que vous êtes déconnecté. Cliquez sur Ctrl+F5 pour vous assurer d'obtenir une nouvelle copie du fichier script.

---

différence entre ASP.NET UrlAuthorization < -- > IIS URL Authorization

il est important de garder à l'esprit que la condition préalable managedHandler is on the ASP.NET module D'autorisation D'URL. La condition préalable vous dit que L'URL module d'autorisation n'est invoqué que lorsque le code handles la requête est associée au code géré, généralement un.aspx ou .asmx page. L'autorisation D'URL IIS, d'autre part, s'applique à tous contenu. Vous pouvez supprimer la condition préalable managedHandler ASP.NET module D'autorisation Url. Il est là pour empêcher une performance pénalité vous devez payer lorsque chaque demande (comme une demande .html ou .pages jpg) devraient passer par géré code.

P. S.: Certains web.les attributs de configuration sont sensibles à la casse!