Wie erlaube ich allen Benutzern den Zugriff auf eine Route innerhalb einer Website mit integrierter Authentifizierung?

Question

Ich habe eine ASP.Net MVC App, die integrierte Sicherheit verwendet, die ich in der Lage sein muss, offenen Zugriff auf eine bestimmte Route zu gewähren. Die fragliche Route ist ~/Agreements/Upload. Ich habe ein paar Dinge ausprobiert und nichts hat bisher funktioniert.

<configuration> 
    <location path="~/Agreements/Upload"> 
    <system.web> 
     <authorization> 
     <allow users="*"/> 
     </authorization> 
    </system.web> 
    </location> 
</configuration> 

In IIS unter Verzeichnissicherheit> Authentifizierungsmethoden habe ich nur "Integrierte Windows-Authentifizierung" ausgewählt. Nun, dies könnte Teil meines Problems sein (wie auch wenn IIS den obigen IIS nicht erlaubt). Aber wenn das der Fall ist, wie konfiguriere ich es so, dass Integrated Security funktioniert, aber erlaubt es Leuten, die nicht authentifiziert sind, auf die gegebene Route zuzugreifen?

Answer 1

Sie müssen auch den anonymen Zugriff in IIS zulassen, da sonst nur Windows-authentifizierte Benutzer auf Ihre Website zugreifen können. Sie sollten den Zugriff auf anonyme Benutzer standardmäßig verweigern.

<deny users="?"/> 
<allow users="*"/> 

In Ihrer <location> Abschnitt erlauben anonyme Benutzer.

<allow users="?"/> 

Answer 2

In ASP.NET MVC sollten Sie nicht das Standortelement in der web.config verwenden. Während die Webformular-Engine physischen Dateien auf der Festplatte zugeordnet ist, verwendet die MVC-Engine Routing. Dies bedeutet, dass Sie versehentlich versehentlich den Zugriff auf einen "geschützten Controller" über eine benutzerdefinierte Route zulassen könnten.

Die empfohlene Methode, ASP.NET MVC-Anwendungen zu sichern, ist die Verwendung des Autorisieren Attribut, wie im Beispiel unten zu sehen:

public class HomeController : Controller 
{ 
    [Authorize] 
    public ActionResult Index() 
    { 
     return View(); 
    } 
} 

Die Controller-Aktion ist das, was Sie wollen, dass die Route zu schützen und nicht . Die ASP.NET MVC Sicherheit bod, ist Levi Broderick eher vocal zu diesem Problem:

1. Excluding an action from authorization in ASP.NET MVC 2
2. Problem with Authorization with IIS and MVC.