ASP.NET 授权设置

Question

我想在 ASP.NET 应用程序中设置授权权限。

因此，在一个特定文件夹中，我想拒绝一个特定用户的访问，该用户角色被授予为允许该特定用户。

 <authorization>
            <allow roles="General" />
            <allow roles="Sale" />
            <allow roles="Administrator" />
            <deny users="admin_test" />
 </authorization>

但是，当我尝试使用 admin_test 帐户访问该特定文件夹中的页面时，系统允许我访问该页面而不是拒绝访问。

谁能指出上面的配置有什么问题吗？

任何帮助将不胜感激。

问候，

兰

Answer 1

您需要首先列出deny。授权引擎将在第一个匹配规则处停止：

在运行时，授权模块从最本地的配置文件开始迭代允许和拒绝元素，直到授权模块找到适合特定用户帐户的第一个访问规则。然后，授权模块根据找到的第一个访问规则是允许还是拒绝规则来授予或拒绝对 URL 资源的访问。

Answer 2

根据 http://msdn.microsoft.com/en-us/library/ wce3kxhd.aspx

规则应用如下：

应用程序级别包含的规则
配置文件优先
超越继承的规则。系统
确定哪个规则优先
通过构建所有的合并列表
URL 的规则，包含最新的
规则（层次结构中最接近的规则）
在列表的开头。

给定一组合并规则
应用程序，ASP.NET 启动于
列表头部和检查规则
直到找到第一个匹配项。这
ASP.NET 的默认配置
包含一个元素，
它授权所有用户。 （经过
默认情况下，该规则最后应用。）
如果没有其他授权规则匹配，
该请求被允许。如果匹配是
找到并且匹配是拒绝元素，
请求返回 401
HTTP 状态代码。如果允许元素
匹配，模块允许该请求
待进一步处理。

因此，如果 admin_test 用户属于常规、销售、管理员角色中的任何一个，它将首先匹配并允许访问。尝试将拒绝规则放在允许规则之前。