Настройка авторизации и страница с недопустимым доступом

Question

Я работаю над приложением ASP.Net MVC. Я хочу запретить доступ ко всем пользователям, которые не прошли проверку подлинности или нет в группе AD. Только эта группа AD должна иметь доступ. Исключением является «Вы не пройдете!». стр. Любой может получить доступ к этому.

В корне проекта, у меня есть это в моем web.config (остальная часть файла обрезается для краткости):

<?xml version="1.0" encoding="utf-8"?> 
<configuration> 
    <system.web> 
     <customErrors mode="On"> 
      <error statusCode="401" redirect="/ui/Other/YouShallNotPass.html" /> 
     </customErrors> 
     <compilation debug="true" targetFramework="4.5.2" /> 
     <httpRuntime targetFramework="4.5.2" /> 
     <authentication mode="Windows" /> 
     <authorization> 
      <allow roles="allowedrole"/> 
      <deny users="*"/> 
     </authorization> 
    </system.web> 
    <system.webServer> 
     <httpErrors> 
      <remove statusCode="401" /> 
      <error statusCode="401" 
        subStatusCode="2" 
        responseMode="ExecuteURL" 
        path="/ui/Other/YouShallNotPass.html" /> 
     </httpErrors> 
    </system.webServer> 
</configuration> 

У меня есть второй web.config сидит рядом с ui/Other/YouShallNotPass.html. Я ожидаю, что это позволит любому получить доступ к этой странице, проверку подлинности или иным образом:

<configuration> 
    <system.web> 
     <authorization> 
      <allow users="?"/> 
     </authorization> 
    </system.web> 
</configuration> 

Я в состоянии проверить это, установив группу AD на один, который не существует. Я не являюсь частью несуществующей группы, поэтому я должен ожидать увидеть страницу YouShallNotPass.html.

Это не работает должным образом. Я получаю следующую ошибку в своем браузере:

Сообщение об ошибке 401.2 .: Несанкционированное использование. Ошибка входа в систему из-за конфигурации сервера. Убедитесь, что у вас есть разрешение на просмотр этого каталога или страницы на основе предоставленных вами учетных данных и методов проверки подлинности, включенных на веб-сервере.

Если я запрошу непосредственно YouShallNotPass.html, я могу получить к нему доступ после получения запроса для пользователя/прохода.

Что я делаю неправильно? Почему он не будет обслуживать страницу 401, если пользователь не авторизован?

Answer 1

Проверьте это question, потому что это объясняет, почему ваше решение не будет работать.

Поэтому, как только вы перемещаете аннотировать все безопасные действия контроллера с [Авторизоваться] вы можете добавить пользовательский ExceptionFilter

как этот

public class HandleUnauthorizedAttribute : HandleErrorAttribute 
{ 
    public override void OnException(ExceptionContext filterContext) 
    { 
     base.OnException(filterContext); 

     if (filterContext.Exception.GetType() != typeof (SecurityException)) return; 

     var controllerName = (string) filterContext.RouteData.Values["controller"]; 
     var actionName = (string) filterContext.RouteData.Values["action"]; 
     var model = new HandleErrorInfo(filterContext.Exception, controllerName, actionName); 

     filterContext.Result = new ViewResult 
     { 
      ViewName = "Unauthorized", 
      ViewData = new ViewDataDictionary<HandleErrorInfo>(model), 
      TempData = filterContext.Controller.TempData 
     }; 
     filterContext.ExceptionHandled = true; 
     filterContext.HttpContext.Response.Clear(); 
     filterContext.HttpContext.Response.StatusCode = 403; 
     filterContext.HttpContext.Response.TrySkipIisCustomErrors = true; 
    } 
} 

Тогда проводка его здесь

public class FilterConfig 
{ 
    public static void RegisterGlobalFilters(GlobalFilterCollection filters) 
    { 
     filters.Add(new HandleUnauthorizedAttribute()); 
    } 
} 

Answer 2

Удалось обойти это, добавив следующее в мой global.asax:

protected void Application_EndRequest(object sender, EventArgs e) 
{ 
    if (Response.StatusCode != 401) 
     return; 

    Response.ClearContent(); 
    Response.WriteFile("~/ui/Other/YouShallNotPass.html"); 
    Response.ContentType = "text/html"; 
} 

Я бы предпочел использовать web.config для этого.