Управление доступом с помощью web.config

Question

Я пытаюсь контролировать доступ к моему сайту с помощью интегрированных окон.

<?xml version="1.0"?> 
<configuration> 
<system.web> 
    <authentication mode="Windows"/> 
    <authorization> 
    <deny users="?"/> 
    <allow roles="DOMAIN\The_group_that_can_access_it"/> 
    </authorization> 
    ... 
</system.web> 
</configuration> 

За исключением этого, этот код не работает. Я могу получить к нему доступ, если я член этой группы или нет. Что не так?

Я просмотрел какой-то код и подумал, что мне нужно было переключить ? на *, но тогда это, кажется, просто отрицает все.

Спасибо,

Answer 1

У вас нет явного отказать заявление, вам необходимо добавить следующую запись в конец деклараций:

<deny users="*" /> 

И вы можете удалить <deny users="?"/> который запрещающее неаутентифицированных пользователей , Финал <deny users="*" /> все равно откажет им. Тогда только ваша группа должна иметь доступ. Конечный результат должен быть:

<authorization> 
    <allow roles="DOMAIN\The_group_that_can_access_it"/> 
    <deny users="*"/> 
</authorization> 

Как правило, всегда закрыть списки контроля доступа с явным все отрицать, или отрицать любое любое.