使用web.config控制访问

Question

我正在尝试通过集成Windows来控制对我网站的访问。

<?xml version="1.0"?>
<configuration>
 <system.web>
  <authentication mode="Windows"/>
   <authorization>
     <deny users="?"/>
     <allow roles="DOMAIN\The_group_that_can_access_it"/>
   </authorization>
   ...
 </system.web>
</configuration>

除此之外，此代码无法正常工作。 如果我不是该组的成员，我可以访问它。 怎么了？

我查看了一些代码，以为也许我需要切换? 为* ，但是那似乎只是否认了一切。

谢谢，

Answer 1

您没有显式的deny语句，应在声明的末尾添加以下条目：

<deny users="*" />

并且您可以删除<deny users="?"/> ，它拒绝未经身份验证的用户。 最后的<deny users="*" />仍然会拒绝他们。 然后，只有您的组才可以访问。 最终结果应为：

<authorization>
    <allow roles="DOMAIN\The_group_that_can_access_it"/>
    <deny users="*"/>
</authorization>

根据经验，请始终以明确拒绝所有或拒绝任何任何内容的方式关闭访问控制列表。