如何处理PrincipalPermission安全异常

Question

我有一个简单的安全方法，

[PrincipalPermission(SecurityAction.Demand, Role = "Administrator")] 
protected void lnkClearCache_Click(object sender, EventArgs e)
{
    ...
}

如果在没有角色的情况下单击此方法，它会按预期生成 System.Security.SecurityException：请求主体权限失败。。

我使用 ELMAH 来处理错误日志记录，并且我的 global.asax 中有一个自定义 ELMAH 事件，以保留正常工作的状态代码的方式传输到错误页面。

private void ErrorLog_Logged(object sender, ErrorLoggedEventArgs args)
{
    var customErrorsSection = GetCustomErrorsSection();       
    var error = args.Entry;

    string statusCode = error.Error.StatusCode.ToString();

    if (statusCode == "0" && error is security exception)
        statusCode = "403";

    var errorSection = customErrorsSection.Errors[statusCode];
    string redirectUrl = errorSection == null ?
            customErrorsSection.DefaultRedirect : errorSection.Redirect;


    RespondWithServerError(error.Id, redirectUrl, statusCode);
}

这工作得很好，并重定向到我的错误页面，该页面工作正常，但没有按预期显示内容。我立即收到对错误页面的第二个请求，但这次使用的是 customErrorsSection.DefaultRedirect 的值，该值并非以我所看到的任何方式来自我的代码。

据我所知，这几乎就像当.NET 引发PrincipalPermission 异常然后让整个请求完成时，然后在请求完成后它会丢弃应用程序响应并以默认的自定义错误进行响应。

当我调试时，我确实打破了PrincipalPermission的2个单独的异常，这是否只是.NET的重新抛出，我不确定，但我的.NET代码从未看到第二次抛出，ELMAH也没有。我总是以单个响应、单个错误记录结束，但最终呈现给浏览器的 url 是默认 url，而不是我专门 server.transferred 到的 403 url。如果我浏览到安全的 /location，我会正确地收到 403 错误页面。

Answer 1

我不太清楚问题出在哪里。但我正在使用类似的东西，对我来说这个解决方案（最小化）效果很好。

Sub Application_Error(ByVal sender As Object, ByVal e As EventArgs)
        Dim er = HttpContext.Current.Error
        If er.GetType.Equals(GetType(System.Security.SecurityException)) Then
            HttpContext.Current.Response.Redirect(FormsAuthentication.LoginUrl & "?ReturnUrl=" & HttpContext.Current.Request.Path)
        End If
    End Sub

那是在 global.asax 之外，

但在某些地方我没有重定向，只是使用 try 和 catch 安全异常来显示用户，不允许他执行此类操作。