FormsAuthentication 授权被拒绝消息

Question

因此，我已经实现了 IPrincipal.IsInRole(...) 并使用 FormsAuthentication，如下所示：

<authentication mode="Forms">
     <forms loginUrl="Login.aspx" name="someName" timeout="600"/>
</authentication>

然后我有一个页面要求您进行身份验证并且您拥有“roleA”。配置如下：

 <location path="SomePage.aspx">
  <system.web>
   <authorization>
    <allow roles="roleA" />
    <deny users="*"/>
   </authorization>
  </system.web>
 </location>

现在，我登录到我的 Web 应用程序，但使用的用户没有 roleA。当我访问 SomePage.aspx 时，我被重定向到 Login.aspx，即表单元素的 loginUrl 中指定的 url。所以，我的问题是我不应该能够指定授权被拒绝的消息或网址吗？如果用户已通过身份验证，但未授权，为什么我要重定向到登录页面。这让用户感到非常困惑。请告诉我我错过了一些简单的事情。

感谢您的阅读！

Answer 1

Roles.IsUserInRole - 如果您只是将其用于此页面，请将其放入后面的代码中。如果您有很多页面，您可以考虑将其放入基类中并从每个页面的 web.config 或数据库中读取。我相信这会给你最大的控制权。

Answer 2

是的，这有点烦人。也许有人有更简单的想法，但我们提出的解决方案（hack？）是在用户重定向到登录页面时查找 ASP.NET 附加到查询字符串的最初请求的 URL。

我们创建了一个新的 web.config 部分，用于存储一组将重定向 URL 片段与授权消息相匹配的键/值：

<configSections>
    <section name="authorizationFailureMessages" type="System.Configuration.NameValueSectionHandler, System, Version=2.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089" />
    ...etc...
</configSections>

<authorizationFailureMessages>
    <add key="MemberResources" value="MembershipRequired" />
    <add key="Staff" value="StaffOnly" />
    <add key="Departments/Administration/BoardOfDirectors" value="BoardOfDirectorsOnly" />
    ...etc...
</authorizationFailureMessages>

在 Login.aspx 页面的 Page_Load() 事件中，我们调用一个使用此 URL 的方法确定发生了哪个（取消）授权事件，然后将其重定向到显示相应文本的消息页面：

private void DisplayAppropriateAuthorizationMessage ()
{
    if ( !Page.User.Identity.IsAuthenticated )
        return;

    string redirectUrl = FormsAuthentication.GetRedirectUrl( Page.User.Identity.Name, false );

    if ( string.IsNullOrEmpty( redirectUrl ) )
        return;

    NameValueCollection authorizationFailureMessages = ConfigurationManager.GetSection( "authorizationFailureMessages" ) as NameValueCollection;

    if ( authorizationFailureMessages == null )
        return;

    foreach ( string key in authorizationFailureMessages.AllKeys )
    {
        if ( redirectUrl.Contains( key ) )
        {
            Response.Redirect( String.Format( "Message.aspx?{0}={1}", Constants.QueryStringKeys.ERRORMESSAGENAME, authorizationFailureMessages[ key ] ), true );
        }
    }
}

Answer 3

我基本上同意@MattPeterson 的解决方案。但我建议进行两项改进。

1. 在我看来，你只要告诉“根据你的角色，你不可以访问该页面”，就足够了。您无需告知需要哪些额外角色，这将暴露您网站的授权管理细节。

2. 您可以从web.config（每个文件夹中）获取访问控制列表，无需再次编写。< /p>

应该有类似的内容。

<authorization>
    <deny users="?" />
</authorization

我相信您的 web.config 中