Web.Config中的Aspx授權

Question

我需要修改web.config文件以確保First.aspx只能由Subscribers組的成員 訪問。

什麼是正確的：

一個

<location path="First.aspx"> 
<system.web> 
<authorization> 
<allow roles="Subscribers"/> 
<deny users="*"/> 
</authorization> 
</system.web> 
</location> 

或

乙

<location path="First.aspx"> 
<system.web> 
<authorization> 
<deny users="*"/> 
<allow roles="Subscribers"/> 
</authorization> 
</system.web> 
</location> 

，爲什麼？

Answer 1

第一個是正確的，因爲第二個會在它試圖檢查他們的角色之前否認每個人。 deny和allow條目按照它們輸入的順序進行測試。

Answer 2

在這裏，我發現這個（http://weblogs.asp.net/gurusarkar/archive/2008/09/29/setting-authorization-rules-for-a-particular-page-or-folder-in-web-config.aspx）所以A是正確的：

由於授權從上到下做，規則進行檢查，直到找到一個匹配。在這裏，我們有第一個，所以即使在管理員角色中，它也不會檢查是否允許再訪問並拒絕訪問。

所以PUT所有允許任何拒絕。

注意：拒絕以與允許相同的方式工作。您可以根據您的要求拒絕特定的角色或用戶。