IIS7 - Сервер разработки защиты паролем

Question

У меня есть сервер разработки с IIS 7.0 с веб-приложением ASP.NET MVC, который аутентифицируется с использованием проверки подлинности/членства в формах.

Мне нужно, чтобы не разрешить неавторизованным пользователям просматривать этот сайт. Однако наши клиенты должны иметь возможность ввести простое имя пользователя/пароль для доступа.

После этого они должны иметь возможность взаимодействовать с веб-приложением с использованием проверки подлинности с использованием форм, как если бы они просто пришли на незащищенный сайт.

Любые предложения?

Answer 1

Мы написали пользовательский модуль для IIS, чтобы автоматически разрешить определенные диапазоны IP, и представить кого-либо еще с диалогом входа в систему. Как только они вошли в систему, он сохранил этот факт в своей сессии и просто передал запросы.

Хорошо работает, может быть применен ко всему на сайтах или службах IIS.

Answer 2

Мой предыдущий ответ сказал, что формы auth и базовые http auth могут жить бок о бок в интегрированном режиме II7. Я был совершенно не прав и с тех пор сделал простое решение.

Использование пользовательских HttpModule вы можете добавить базовую авторизацию по стороне регулярной формы AUTH

public class CustomBasicAuthHttpModule : IHttpModule 
{ 
    private HttpApplication httpApplicationContext; 

    public void Dispose() 
    { 
    } 

    public void Init(HttpApplication context) 
    { 
     this.httpApplicationContext = context; 
     context.BeginRequest += this.OnBeginRequest; 
     context.EndRequest += this.OnEndRequest; 
    } 

    private void OnBeginRequest(object sender, EventArgs e) 
    { 
     // your logic of checking Auth header goes here 
     if (this.httpApplicationContext.Request.Headers["Authorization"] != "Basic base64-encoded-user:pass") 
     { 
      this.httpApplicationContext.Response.StatusCode = 401; 
      this.httpApplicationContext.Response.End(); 
     } 
    } 

    private void OnEndRequest(object sender, EventArgs e) 
    { 
     if (this.httpApplicationContext.Response.StatusCode == 401) 
     { 
      this.httpApplicationContext.Response.AddHeader("WWW-Authenticate", "Basic"); 
     } 
    } 

затем в вашем web.config

<system.webServer> 
    <modules> 
     <add name="CustomBasicAuthHttpModule" type="Namespace.CustomBasicAuthHttpModule, AssemblyName"/> 
    </modules> 
    </system.webServer> 

Answer 3

Я просто сделал это с Helicon Ape. Бесплатная лицензия включает в себя 3 сайта, которые для меня были достаточно хороши.

Если вы используете это на сайте, просто не забудьте проверить, активирована ли лицензия для сайта (меню запуска> helicon> ape> manager, help, license manager).

Answer 4

Как указывает Аарон, это не так просто в IIS7. Теперь обратная сторона этого старого трюка в лучшем случае небезопасна, и есть лучшие способы сделать это сейчас, и возможность использовать все методы аутентификации со всеми приложениями имеет множество преимуществ. Есть несколько способов обойти это, например:

a) Сохранение сайта разработки за VPN, доступ к которому у ваших клиентов.
b) обратное проксирование сайта и предоставление прокси-серверу аутентификации http.
c) Немного больше будет связано с созданием вашего приложения с демонстрационным режимом. Трюк здесь состоит в том, чтобы включить или выключить его из первого запроса, заданного специальной магической строкой запроса. Проверьте это в Session_Start(), затем пометьте пользователей, которые приходят с ним и получают прибыль.