.net - ASP.NET 根据角色拒绝访问某些页面

Question

我在 web.config 中有以下内容，但没有 MAnager 或 Admin 角色的用户仍然可以访问 pAccessData.aspx 页面。
该页面存储在用户目录中

<location path="Users"  >
    <system.web>
      <authorization>
        <allow users="*" />
      </authorization>
    </system.web>
  </location>

  <location path="~/Users/ChangePassword.aspx"  >
    <system.web>
      <authorization>
        <allow users="*"  />
      </authorization>
    </system.web>
  </location>

  <location path="~/Users/pAccessData.aspx"  >
    <system.web>
      <authorization>
        <allow roles="Manager,Admin"/>
        <deny users="*" />
      </authorization>
    </system.web>
  </location>

Answer 1

您没有添加 <deny users="?"/> ，应该是这样的……

<location path="Users/pAccessData.aspx"  >
    <system.web>
      <authorization>
        <deny users="?"/>
        <allow roles="Manager,Admin"/>            
      </authorization>
    </system.web>
  </location>

编辑:您已指定 <allow users="*" />这意味着，它将允许访问所有用户，因为您没有提到用户可以访问该文件夹的角色。

<location path="Users"  >
<system.web>
  <authorization>
    <allow users="*" />
  </authorization>
</system.web>