Формы Аутентификация и авторизация MVC 4

Question

Я пытаюсь создать анонимный контроллер для проверки подлинности формы. Я настроил свой IIS 7 с анонимной и аутентификацией формы включил и установил мой web.config на deny анонимных пользователей. В контроллере входа я положил украшение [AllowAnonymous] на мой контроллер (и мои действия).

Единственное действие, которое я могу выполнить с этим набором настроек, - это действие входа (которое возвращает вид «входа»), и я предполагаю, что MVC позволяет мне получить это действие, потому что я установил его как логин URL на моем веб-сайте.

Вот мой веб-конфигурации конфигурации:

 <authentication mode="Forms"> 
     <forms loginUrl="~/Login/Login" timeout="2880" /> 
    </authentication> 

Все другие действия перенаправляются к действию входа. В этом наборе конфигурации я не могу выполнить другие важные действия, такие как восстановление пароля, регистрация и т. Д.

Что я делаю неправильно?

Answer 1

Используйте глобальный фильтр подлинности пользовательского поведения вместо конфигурации авторизации в web.config (лучше всего подходит для MVC)

добавить глобальный фильтр

public class FilterConfig 
{ 
    public static void RegisterGlobalFilters(GlobalFilterCollection filters) 
    { 
     filters.Add(new AuthorizeAttribute()); 
    } 
} 

Тогда [AllowAnonymous] будет работать, и все остальные контроллеры и действия требуют авторизации.

Answer 2

ли вы пытаетесь разрешить анонимный авторизацию для URL, как в образце ниже

<location path="Login/Login"> 
    <system.web> 
     <authorization> 
      <allow users="*" /> 
     </authorization> 
    </system.web> 
</location> 

Аналогично это вы должны быть настройки для ResetPassword/Восстановление пароля/Регистрация и т.д. ...

Answer 3

Существует два возможных подхода.

Во-первых - вы можете отклонить анонимные запросы по всему миру с помощью атрибута Authorize и пометить эти несколько, которым не требуется авторизация с атрибутом AllowAnonymous (который является новым для MVC4).

Во-вторых - не отрицайте глобально, а достаточно защитите выбранные контроллеры/действия с помощью атрибута Authorize.

Answer 4

Вы также можете зарегистрировать Authorize фильтр RegisterGlobalFilters метода:

public static void RegisterGlobalFilters(GlobalFilterCollection filters) 
{ 
    filters.Add(new HandleErrorAttribute()); 
    filters.Add(new AuthorizeAttribute()); 
} 

И затем использовать атрибут AllowAnonymous на методах действий, которые требуют анонимного доступа:

[Authorize] 
public class AccountController : Controller 
{ 
    [AllowAnonymous] 
    public ActionResult RecoverPassword() 
    { 
    ... 
    } 
}