asp.net 授权/身份验证处理非 asp.net 文件的方式是否发生了变化？

发布于 2024-10-20 18:54:50 字数 469 浏览 3 评论 0原文

每当我过去使用 asp.net 身份验证/授权时，我都记得它从未用于保护 .htm .js .css 文件（实际上，任何不由 asp.net isapi dll 处理的文件）。

经过一段时间的其他工作后，我现在又回来做一些 Web 开发，这次使用 VS2010，现在情况正好相反。似乎所有文件都受到保护，因为我的登录页面上的图像和 .js 文件无法正常工作。

我的问题是，我最初关于如何处理非 asp.net 文件的假设是否错误？如果不是，这种变化是什么时候发生的？ VS2010开发服务器是否发生了变化，现在意味着所有文件都由asp.net处理？

非常感谢。

编辑添加：

我刚刚注意到，当我从本地 IIS 服务器运行我的项目时，非 asp.net 文件（例如图像和 .js）不受保护。但是，当从 VS 开发服务器运行时，它们是这样的。显然，这归因于 IIS 和开发服务器之间的配置差异。这引出了另一个问题.. 是否可以配置 VS 开发服务器？

原文

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

悲喜皆因你 2024-10-27 18:54:50

此后我发现了一些与此问题相关的更多信息。

集成管道模式下的 IIS 7 确实会通过与 ASP.NET 内容相同的管道处理所有文件的请求，这意味着授权非 ASP.NET 文件的行为将会改变。

然而，为了保持向后兼容性，授权设置了一个先决条件，该先决条件将忽略任何非 ASP.NET 内容。这会造成行为没有改变的外观。

如果您想更改此行为并保护非 asp.net 内容，您可以通过将以下内容添加到 web.config 来覆盖此前提条件。

<system.webServer>
  <modules>
    <remove name="FormsAuthenticationModule" />
    <add name="FormsAuthenticationModule" type="System.Web.Security.FormsAuthenticationModule"  />
    <remove name="UrlAuthorization" />
    <add name="UrlAuthorization" type="System.Web.Security.UrlAuthorizationModule" />
    <remove name="DefaultAuthentication" />
    <add name="DefaultAuthentication" type="System.Web.Security.DefaultAuthenticationModule" />
  </modules>
</system.webServer>

这有效地删除了 HttpModule 及其前提条件，并在没有前提条件的情况下重新添加它们。

Cassini被设置为使用集成管道模式，并且不具备向后兼容的前提条件。这意味着，如果您使用带有表单身份验证的 VS2010 开发服务器，则您别无选择，非 asp.net 内容将始终受到保护。

I've since found out some more info relating to this issue.

IIS 7 in integrated pipeline mode will indeed process the requests for all files through the same pipe as asp.net content, meaning that the behaviour of Authorizing non asp.net files will change.

However, to maintain backwards compatibility, Authorization has been set up with a precondition that will ignore anything that is not asp.net content. This creates the appearance that the behaviour hasn't changed.

If you would like to change this behaviour and secure non asp.net content, you can override this precondition by adding the following to the web.config.

<system.webServer>
  <modules>
    <remove name="FormsAuthenticationModule" />
    <add name="FormsAuthenticationModule" type="System.Web.Security.FormsAuthenticationModule"  />
    <remove name="UrlAuthorization" />
    <add name="UrlAuthorization" type="System.Web.Security.UrlAuthorizationModule" />
    <remove name="DefaultAuthentication" />
    <add name="DefaultAuthentication" type="System.Web.Security.DefaultAuthenticationModule" />
  </modules>
</system.webServer>

This effectively removes the HttpModules along with their precondition and re-adds them without it.

Cassini is set up to use integrated pipeline mode and it doesn't have the backwards compatibility precondition. This means that if you're using the VS2010 dev server with forms authentication, you have no choice in the matter, non asp.net content will always be secured.

回复收藏 0 原文