asp.net - 使用 web.config 拒绝访问网页

Question

我搜索了 Google 和 SO 的帖子，但没有找到解决我问题的结果。

我的 web.config 是:

<location path="~/reports/PayPeriodQtrReport.aspx, ~/reports/PayPeriodDetailReport.aspx">
  <system.web>
    <authorization>
      <allow roles="PayrollReports"/>
      <deny users="*"/>
    </authorization>
  </system.web>
</location>

<location path="~/reports/ManifestAnnualReport.aspx, ~/reports/ManifestDetailedReport.aspx">
  <system.web>
    <authorization>
      <allow roles="ManifestReports"/>
      <deny users="*"/>
    </authorization>
  </system.web>
</location>  

授权按要求工作(意味着具有“PayrollReports”角色的人无法在菜单项中看到 list 报告，具有“ManifestReports”角色的人无法在菜单项中看到工资单报告).

问题:
作为具有“PayrollReports”角色的用户，我可以输入我的网址 http:\\mysite.com\reports\ManifestDetailedReport.aspx 页面显示。应该显示的是unauthorizedaccess.aspx

同样，作为具有“ManifestReports”角色的用户，我可以输入我的 url http:\\mysite.com\reports\PayPeriodQtrReport.aspx 并显示页面。应该显示的是unauthorizedaccess.aspx

问题:使用 web.config，如何防止用户通过键入 url 侵入页面？

Answer 1

您需要将每个文件放在它自己的 location 条目中并删除 ~/:

<location path="reports/PayPeriodQtrReport.aspx">
  <system.web>
    <authorization>
      <allow roles="PayrollReports"/>
      <deny users="*"/>
    </authorization>
  </system.web>
</location>

等...

这假设您使用的是 RoleProvider。您使用的是内置 RoleProvider，或者您是从 RoleProvider 继承并在 web.config 中正确指定的自定义 RoleProvider。