Context.User.Identity.IsAuthenticated 始终经过身份验证吗？

Question

我正在尝试创建一个 httphandler 来拦截我们网站上的示例 pdf 文件。 httphandler 在我的开发机器甚至我本地发布的网站中工作正常，如果我只是尝试连接到测试 url： https://test.com/admin/_/sample_reports/sample.pdf我将被发送到无效的访问页面。

因此，当我尝试访问它提供 PDF 文档的 URL 时，将其推送到我们的 IIS6 计算机。 context.User.Identity.IsAuthenticated 始终显示为 true。

我正在使用表单身份验证。下面是我用作处理程序的代码。

public void ProcessRequest(HttpContext context)
{
    if (context.User.Identity.IsAuthenticated)
    {
        string SampleURL = context.Request.AppRelativeCurrentExecutionFilePath;

        context.Response.Buffer = true;
        context.Response.Clear();
        using (FileStream fs = new FileStream(HttpContext.Current.Server.MapPath(SampleURL),FileMode.Open))
        {
            int length = (int)fs.Length;
            byte[] buffer;

            using (BinaryReader br = new BinaryReader(fs))
            {
                buffer = br.ReadBytes(length);
            }

            context.Response.Clear();
            context.Response.Buffer = true;
            context.Response.ContentType = "application/pdf";
            context.Response.BinaryWrite(buffer);
            context.Response.End();
        }
    }
    else
    {
        context.Response.Redirect(
           "~/Error/invalid_access.aspx");
    }}

在 web.config 中，我有以下用于表单身份验证的内容：

<authentication mode="Forms">
  <forms name="Sample.Web" loginUrl="~/Security/" defaultUrl="~/default.aspx" protection="All" timeout="60" path="/" requireSSL="false" slidingExpiration="true" enableCrossAppRedirects="false" cookieless="UseDeviceProfile" domain="">
  </forms>
</authentication>
<authorization>
  <deny users="?"/>
</authorization>

Answer 1

当身份验证 cookie 仍然设置并且对于表单身份验证仍然有效（未过期）时，Context.User.Identity.IsAuthenticated 属性设置为 true。

对于 Forms 身份验证，
表单身份验证模块使用
加密的身份验证票
包含在身份验证 cookie 中
对用户进行身份验证。一旦有了
这样做，它取代了
GenericIdentity 中
Context.User.Identity 带有
返回的 FormsIdentity 对象
true 来自其 IsAuthenticated
属性。

所以，你的 auth cookie 还活着；它可能是由调用其中之一引起的 FormsAuthentication 方法，如 RedirectFromLoginPage< /a> 或 SetAuthCookie 正在设置身份验证 cookie；或者只是被遗忘的cookie。

另外，最好使用 HttpRequest.IsAuthenticated 而不是您的示例中的 Context.User.Identity.IsAuthenticated 。它检查 HttpContext.User 和 HttpContext.User.Identity 是否不 null 和 HttpContext.User.Identity.IsAuthenticated > 属性设置为 true。在您的情况下，例如，当HttpContext.User为null时，您的代码将抛出NullReferenceException。

Answer 2

你确定吗

因此，当我尝试访问它提供 PDF 文档的 URL 时，将其推送到我们的 IIS6 计算机。 context.User.Identity.IsAuthenticated 始终显示为 true。

此 .PDF 请求可能已由 IIS 6 静态文件处理程序（而不是 IIS 6 上的 HTTP 处理程序）处理。

Answer 3

您需要使用 ProcessRequest

public void ProcessRequest(HttpContext context)
{
    if (!context.User.Identity.IsAuthenticated)
    {
         context.Response.Redirect(
           "~/Error/invalid_access.aspx");
    }

}

编辑：那么罪魁祸首可能是IIS，您有以下设置吗？在 IIS 中，所有使用表单身份验证的应用程序都启用匿名访问

<system.web>
  <authorization>
    <deny users="?" />
  </authorization>
</system.web>