将 Windows 身份验证重定向到自定义 401 页面

Question

我们正在将一些过去在表单身份验证下运行的 Web 应用程序转换为现在作为 Windows 身份验证运行。我想重新创建表单身份验证所具有的页面安全性，并对实际页面进行最少的修改。我能够使用简化的网络应用程序重新创建我想要的效果。我正在 Server 2008 R2 集成管道 IIS 7.5 上运行该应用程序。

我使用 Windows 身份验证创建了一个简单的 3 页应用程序。这三个页面是：

• Openpage.aspx，对任何经过身份验证的用户开放
• Blockpage.aspx 对所有用户阻止（表示根据用户角色对部分用户阻止的目录或页面）
• ErrorPage.aspx，如果访问（并拒绝）blockedpage.aspx，则应用程序应转发到 ErrorPage.aspx，用户可以在其中获取有关应用程序的一般信息。

应用程序的 Web.Config：（

<configuration>
    <system.web>
        <compilation debug="true" targetFramework="4.0" />
      <authentication mode="Windows"/>
      <authorization>
        <deny users="?" />
        <allow users="*" />
      </authorization>
    </system.web>
  <location path="blockedpage.aspx">
    <system.web>
      <authorization>
        <deny users="*"/>
      </authorization>
    </system.web>
  </location>
  <system.webServer>
   <httpErrors errorMode="Custom" >
      <remove statusCode="401" subStatusCode="-1" />
      <error statusCode="401" path="/development/simplesecurityapp/errorpage.aspx" responseMode="ExecuteURL" />
    </httpErrors>

    <validation validateIntegratedModeConfiguration="false" />
    <defaultDocument>
      <files>
        <clear />
        <add value="openpage.aspx" />
      </files>
    </defaultDocument>
  </system.webServer>

</configuration>

如果我不尝试在 ASP.NET 级别重定向 401 错误，我只会收到标准的“未授权消息”，这不是我想要给用户的效果。）

但是，我收到一个我不明白的错误 - 每次服务器重置时，应用程序都会停止工作。 IIS只是简单地返回401错误，直到浏览器弹出手动登录控件，这是无法满足的。 （我从不希望我的用户看到浏览器登录提示）

但是，如果我在应用程序设置后替换 httperrors 部分（通过编辑 Web 配置，或使用服务器 GUI 更新它），则删除该部分，访问该页面，然后添加回该部分，应用程序开始按预期工作，并继续直到服务器重新启动，此时它开始再次向用户提供手动登录弹出窗口，但用户无法解决该问题。

1) 这是通过 Windows 身份验证保护应用程序安全的正确方法吗（是否有更好的方法来配置像表单中那样不可访问的目录，但仍提供自定义错误页面？）

2) 这是集成管道的影响吗？为什么是这样工作的吗？

Answer 1

您正在尝试通过传输错误消息提供内容。

Forms 允许您执行此操作，因为它由第 7 层内容组成，例如 302 和 200。 401 被客户端浏览器解释为“服务器不喜欢我的凭据，因此打开一个对话框来请求新的凭据”。

经过身份验证的页面至少会产生 1 401 才能通过身份验证；您为其他事情超载了“错误”可能是问题的根源。

我不确定是否有一种优雅的方式来做你想做的事。