ASP.NET奇怪的行为

Question

我的Register页面仅对经过身份验证的用户可用，因此任何键入http://localhost:52874/register.aspx都将无法访问它。

但是我有一个从登录页面到它的链接，当单击它时， DOES可以使用Server.Transfer("Register.aspx", false);进入没有身份验证的注册页面Server.Transfer("Register.aspx", false);

既然这是我喜欢的东西，这意味着只能从Login.aspx页面获取它，这很好。

但是，当我按注册页面上的Submit按钮（从login.aspx传输后）时，它使我立即返回login.aspx而无需进行任何处理。

然后，我必须添加：

  <location path="Register.aspx">
    <system.web>
      <authorization>
        <allow users="?" />
      </authorization>
    </system.web>
  </location>

要使其能够正常工作的Web配置，这意味着现在可以通过url访问它。 那么，为什么要执行此行为，为什么要允许我使用Server.Tranfer却又不让我处理按钮单击呢？

Answer 1

如果您在做Server.Server时观看浏览器地址栏，则URL不会更改-这是因为它停止了当前页面的处理并开始处理新页面，而浏览器没有意识到。 因此，它绕过身份验证，直到您回发（即单击按钮），然后才将您发送回登录名。

您应该做的是一个Response.Redirect，它将更改URL并正确进行身份验证。

Answer 2

这是因为Server.Transfer将当前请求的处理转移到另一个页面。 这会在检查您是否有权访问所请求的页面之后发生。 即，当使用Server.Transfer时，请求是针对您有权访问的页面的，但是您通过将该页面的处理传递给您无权访问的页面来绕过安全性。

签出Server.TransferVs。 响应重定向

Answer 3

http://www.4guysfromrolla.com/articles/120705-1.aspx-查看有关会员资格提供者的本文。 可能有帮助:)

如果仅使用用户登录后访问页面的方式，则可能需要拒绝user =“？” 这将拒绝匿名用户访问该页面。

Answer 4

从MSDN ：

ASP.NET不会验证当前用户是否有权查看由Transfer方法提供的资源。 尽管ASP.NET授权和身份验证逻辑在调用原始资源处理程序之前运行，但是ASP.NET直接调用Transfer方法所指示的处理程序，并且不会为新资源重新运行身份验证和授权逻辑。 如果您的应用程序的安全策略要求客户端具有访问资源的适当授权，则应用程序应强制重新授权或提供自定义访问控制机制。

因此，根据设计， Server.Transfer("Register.aspx", false); 在您的方案中不进行身份验证。

我认为任何人都应该可以看到“注册”页面-用户应该可以通过URL到达那里。 因此，通过概述您的web.config文件，确保“注册”页面可用于未经身份验证的用户。