使用web.config控制訪問

Question

我正在嘗試通過集成Windows來控制對我網站的訪問。

<?xml version="1.0"?>
<configuration>
 <system.web>
  <authentication mode="Windows"/>
   <authorization>
     <deny users="?"/>
     <allow roles="DOMAIN\The_group_that_can_access_it"/>
   </authorization>
   ...
 </system.web>
</configuration>

除此之外，此代碼無法正常工作。 如果我不是該組的成員，我可以訪問它。 怎么了？

我查看了一些代碼，以為也許我需要切換? 為* ，但是那似乎只是否認了一切。

謝謝，

Answer 1

您沒有顯式的deny語句，應在聲明的末尾添加以下條目：

<deny users="*" />

並且您可以刪除<deny users="?"/> ，它拒絕未經身份驗證的用戶。 最后的<deny users="*" />仍然會拒絕他們。 然后，只有您的組才可以訪問。 最終結果應為：

<authorization>
    <allow roles="DOMAIN\The_group_that_can_access_it"/>
    <deny users="*"/>
</authorization>

根據經驗，請始終以明確拒絕所有或拒絕任何任何內容的方式關閉訪問控制列表。