Авторизация Url с помощью MVC и ASP.NET идентичность

[TL; DR;]
Перейти к " полная корневая сеть.config" раздел, чтобы увидеть необходимую сеть.настройка конфигурации.

проверьте это в режиме инкогнито, чтобы предотвратить проблемы кэширования браузера! И использовать Ctrl+F5 потому что скрипты и html-файлы кэшируются.

сначала запретить доступ ко всем анонимным пользователям в интернет.конфиг.

<authorization>
    <deny users="?"/>        
</authorization>

веб.config здесь позволяет одной папке быть публично работает. Эта папка, в моем примере здесь, называется css и сидит в корне приложения MVC. Для папки css я добавляю следующую авторизацию в корневой веб-сайт.config:

<location path="css">
    <system.web>
        <authorization>          
            <allow users="*"/>
        </authorization>
    </system.web>
</location>

вы можете добавить больше этих путей расположения, если хотите больше общих папок.

пока все другие файлы не будут доступны, пока пользователь не войдет в систему, папка css и ее содержимое всегда будут доступны.

я также добавил статический обработчик файлов в корневой сети.config,это критично, поскольку вы хотите, чтобы запрос управлялся asp.net конвейер для определенного типа файлов:

<handlers>
    <add name="HtmlScriptHandler" path="*.html" verb="*" preCondition="integratedMode" type="System.Web.StaticFileHandler" />
</handlers> 

полный интернет.config

<system.web>
    <authentication mode="None" />
    <authorization>
        <deny users="?"/>        
    </authorization>
    <compilation debug="true" targetFramework="4.6.2" />
    <httpRuntime targetFramework="4.6.2" />
</system.web>
<location path="css">
    <system.web>
        <authorization>          
            <allow users="*"/>
        </authorization>
    </system.web>
</location>
<system.webServer>
    <modules>
        <remove name="FormsAuthentication" />           
        <remove  name="UrlAuthorization" />
        <add  name="UrlAuthorization" type="System.Web.Security.UrlAuthorizationModule"  />     
    </modules>
    <handlers>
        <add name="HtmlScriptHandler" path="*.html" verb="*" preCondition="integratedMode" type="System.Web.StaticFileHandler" />
    </handlers>      
</system.webServer>

---

ASP.NET по умолчанию правила allow и deny применяются только к файлам, обрабатываемым управляемым обработчиком. Управляемый обработчик не управляет статическими файлами.

вы также можете установить: (не делай это, если не очень нужно!)

 <modules runAllManagedModulesForAllRequests="true">

С runAllManagedModulesForAllRequests="true" все HTTP-модули будут выполняться по каждому запросу, а не только управляемым запросам (например .aspx, ashx). Это означает, что модули будут работать на каждом .формат JPG., файл GIF., стиль CSS., формат HTML. ,документ PDF. ,.. запрос.

---

одна важная вещь
Вам не нужно добавлять UrlAuthorizationModule в раздел Модули, поскольку он уже является частью ASP.NET трубопровод. Это означает, что он будет работать только для управляемых файлы, а не статические!

если теперь удалить, а затем повторно добавить UrlAuthorizationModule в раздел модулей, он будет работать под предварительным условием "integratedMode", а не под" managedHandler " больше! И поэтому будет иметь доступ к статическим файлам.

<remove  name="UrlAuthorization" />
<add  name="UrlAuthorization" type="System.Web.Security.UrlAuthorizationModule" />

---

Если задано предварительное условие managed: <add name="UrlAuthorization" type="System.Web.Security.UrlAuthorizationModule" preCondition="managedHandler" />, то UrlAuthorizationModule больше не будет ограничивать доступ к статическим файлам.

вы можете проверить это, обратившись к файлу сценария в папка scripts успешно при выходе из системы. Нажмите Ctrl+F5, чтобы получить новую копию файла сценария.

---

разница между ASP.NET UrlAuthorization IIS url Authorization

важно иметь в виду, что предварительное условие managedHandler находится на ASP.NET модуль UrlAuthorization. Условие говорит вам что модуль авторизации URL вызывается только тогда, когда код что обрабатывает запрос сопоставляется с управляемым кодом, обычно .aspx или .asmx-страницы. С другой стороны, авторизация IIS URL применяется ко всем содержание. Предварительное условие managedHandler можно удалить из ASP.NET модуль авторизации Url. Это там, чтобы предотвратить производительность штраф вы должны заплатить, когда каждый запрос (например, запрос на .html или .jpg pages) придется пройти через управляемый код.

П. С.: Некоторые веб.атрибуты настройки случае чувствительный!