Web.config授权穿透

Question

我的web.config中有

<location path="Admin">
    <system.web>
      <authorization>
        <allow roles="Administrator"/>
        <deny users="?"/>
      </authorization>
    </system.web>
  </location>
  <location path="Admin/Page1">
    <system.web>
      <authorization>
        <allow roles="SubAdmin"/>
      </authorization>
    </system.web>
  </location>

这会正确地阻止除“管理员”和"SubAdmin“角色之外的所有人进入管理员/页面1吗？

或者我必须将<allow roles="Administrator"/> <deny users="?"/>添加到管理/页面1部分？

Answer 1

如果可能，将web.configs保存在每个文件夹中，而不是保存在一个web.config中。

我不确定哪个角色更强大-管理员还是SubAdmin。您需要在嵌套文件夹中保留最强大的角色。

仅限管理员文件夹内部

<?xml version="1.0"?>
<configuration>
  <system.web>
    <authorization>
      <allow roles="Administrator"/>
      <deny users="*"/>
    </authorization>
  </system.web>
</configuration>

在SubAdmin和管理员文件夹中

<?xml version="1.0"?>
<configuration>
  <system.web>
    <authorization>
      <allow roles="Administrator, SubAdmin"/>
      <deny users="*"/>
    </authorization>
  </system.web>
</configuration>

Answer 2

您可以这样使用它：

<allow roles="Admin"/>
<allow roles="SubAdmin"/>
<deny users="*"/>

供将来参考：http://msdn.microsoft.com/en-us/library/8d82143t%28VS.71%29.aspx