asp.net-mvc - 如何保护 Elmah.axd？

Question

我们正在使用 Elmah 作为我们的错误日志系统，用于即将投入生产的应用程序。它非常有用，但如果像这样投入生产，世界上的任何人都可以访问错误日志，因为他们所要做的就是访问 ourdomain.com/elmah.axd .

这显然不理想。我最初打算将对该页面的访问限制为我们公司内的 IP 地址，但现在我们的系统管理员说这是不可能的。所以我在这里问我如何防止访问这个资源？

我们在 IIS 6 上运行一个 ASP.NET MVC 应用程序。

Answer 1

保护 elmah.axd 的典型场景是只允许某些经过身份验证的用户能够访问它。但是，如果您的站点根本不使用任何身份验证，则这可能不适用。

以下是我向您推荐的:

完全禁用 elmah.axd您主站点上的处理程序

配置 elmah将日志写入某些共享数据源(如共享文件、SQLite 数据库甚至 SQL Server)

在 IIS 中配置第二个站点，可能在另一个网络或服务器上，它只安装了 elmah 并且指向同一个共享数据源。现在您将始终使用第二个站点来读取日志。显然，只有您可以访问第二个站点。

如果您决定使用 SQL Server，您甚至可以从只有您可以访问的单个内部应用程序中读取在场中多个 Web 服务器上运行的多个应用程序的日志。