如何在 ASP.NET 中检查请求的路径 (URL) 是否具有身份验证规则？

Question

我的 ASP.NET 解决方案中有一个文件夹层次结构，如下所示：

Reseller< 中的所有内容/code> 文件夹应该经过身份验证，并被视为安全资源。但 Services 文件夹中的所有内容都是公开的，无需验证针对 Web 服务 ProductServices.asmx 发出的任何请求。

现在，我想挂接到请求处理管道的 AuthenticateRequest 中，在对用户进行身份验证之前，我想查看该请求是针对公共路径还是安全路径。我知道我可以使用 UrlAuthorizationModule.CheckUrlAccessForPrincipal 并且我实际上已经在 另一个问题。但是 UrlAuthorizationModule.CheckUrlAccessForPrincipal 是一种可以在请求经过身份验证后使用的方法。但是，在进行任何身份验证之前，我想知道请求的路径是否安全。换句话说，是否在任何 web.config 文件的文件夹层次结构中的任何位置为所请求的路径定义了任何 authentication 元素。

我想要的伪代码可能是这样的：

UrlAuthorizationModule.IsRequestedPathSecure(Request.Url.AbsolutePath)

我该怎么做？

Answer 1

您可以使用 CheckUrlAccessForPrincipal 方法（如您所提到的），但使用表示匿名用户的 GenericPrincipal ，如下所示：

protected void Application_AuthenticateRequest(object sender, EventArgs e)
{
    IIdentity identity = new GenericIdentity(string.Empty, string.Empty);
    IPrincipal principal = new GenericPrincipal(identity, new string[] { });

    bool hasAccess = UrlAuthorizationModule.CheckUrlAccessForPrincipal(Request.Path, principal, "GET");

    if(!hasAccess)
    {
        //Anonymous access not permitted to the current URL.
    }
}

Answer 2

不确定这是否有帮助，但您可以使用 web.config 的 location 元素来禁止/授予对隐藏资源的访问权限，请参阅 如何：控制 ASP.NET 应用程序中的授权权限了解说明。它使您可以根据文件夹或 aspx/asmx 授予访问权限。如果用户没有权限，IIS 将为禁止位置返回 403 HTTP 错误代码，并且不会处理对这些位置的请求

Answer 3

将 web.config 文件添加到 Reseller 并写入以下代码

<?xml version="1.0"?>
    <configuration xmlns="http://schemas.microsoft.com/.NetConfiguration/v2.0">
      <system.web>
        <authorization>
          <allow roles="ResellerUser,ResellerAdmin" />
          <deny users="*"/>
        </authorization>
  </system.web>
</configuration>

，并将 web.config 文件添加到 Service 文件夹并写入以下代码

<?xml version="1.0"?>
<configuration xmlns="http://schemas.microsoft.com/.NetConfiguration/v2.0">
  <appSettings>
  </appSettings>
      <system.web>
        <pages theme="">
        </pages>
 <authorization>
  <allow roles="ResellerUser, ResellerAdmin" />
  <deny users="*" />
</authorization>

请注意页面主题=“”这是必要的。