如何在 Windows 身份验证中使用自定义错误页面

Question

我正在使用 asp.net 3.5 web.config 来限制访问，效果很好。

<authentication mode="Windows">
<authorization>
    <allow users="Bill, John"/>
    <deny users="*"/>
</authorization>

未经授权（但经过身份验证）的用户将被系统错误消息阻止，其中显示：

Server Error in '/' Application
Access is denied.
Description: An error occurred while .......
Error message 401.2: Unauthorized: Logon failed due to server configuration ...

为了使消息更友好，我取消注释 customErrors 标志并在项目的根路径中创建 GenericErrorPage.htm。

<customErrors mode="On" defaultRedirect="GenericErrorPage.htm">
    <error statusCode="403" redirect="NoAccess.htm" />
    <error statusCode="404" redirect="FileNotFound.htm" />
</customErrors>

然而，它就是行不通。我仍然收到系统错误消息，而不是我的自定义错误页面。

任何建议将不胜感激。

Answer 1

您不会看到它 - 自定义错误页面由 ASP.NET 应用程序提供，但 Windows 身份验证由 IIS 本身提供。

现在您可以将 IIS 设置为使用不同的错误页面。对于 IIS7，这需要一个单独的配置部分；

<system.webServer>
  <httpErrors errorMode="Custom" existingResponse="Auto">
    <error statusCode="403" 
           subStatusCode="-1" 
           prefixLanguageFilePath="" 
           path="C:\inetpub\wwwroot\errors\403.htm" 
           responseMode="File" />
  </httpErrors>
</system.webServer>

您需要确保应用程序池用户有权访问该路径。

Answer 2

没有在其他场景中对此进行测试，但查看了此 中的一些建议类似问题的详细文章。

另一个问题是：

由于授权要求，对错误页面的访问被阻止。

解决方案是在 web.config 中使用 属性。请参阅链接以获取更详细的解释，但这里有一个片段：

<!-- in the same root web config file-->
<configuration>
    <system.web>
        <authorization>
        <allow users="Bill, John"/>
        <deny users="?" />
        </authorization>
    </system.web>

    <!-- the page specific authorization-->   
    <location path="GenericErrorPage.htm"> <!-- other ones for your other pages-->
        <system.web>
        <authorization>
        <allow users="*" />
        </authorization>
        </system.web>
    </location>

</configuration>

Answer 3

change ：

<customErrors mode="RemoteOnly" />

mode 属性可以是以下之一：

* On – error details are not shown to anybody, even local users. If you specified a custom error page it will be always used.
* Off – everyone will see error details, both local and remote users. If you specified a custom error page it will NOT be used.
* RemoteOnly – local users will see detailed error pages with a stack trace and compilation details, while remote users with be presented with a concise page notifying them that an error occurred. If a custom error page is available, it will be shown to the remote users only.

向访问者显示简洁但不太漂亮的错误页面仍然不够好，因此您需要组合一个自定义错误页面并以这种方式指定它：

<customErrors
       mode="RemoteOnly" 
       defaultRedirect="~/errors/GeneralError.aspx" 
/>