IIS 允许访问特定控制器，但不是所有具有 Windows 身份验证的网站

Question

我有一个为特定域组 (MYDOMAIN\MY_SITE_USERS) 设置了 Windows 身份验证的 ASP.NET 网站。我想添加一个控制器，其中包含一些可以从特殊 Windows 帐户执行的操作，而无需访问网站的其余部分。

所以：

~   ==> only MYDOMAIN\MY_SITE_USERS
~/DoSomething ==> only MYDOMAIN\MY_SITE_USERS
~/SpecialAction/Do ==> only MYDOMAIN\SPECIAL_ACCOUNT

我见过其他答案（在 Web.Config 中使用 location），例如：

<location path="~/SpecialAction/Do">
    <system.webServer>
        <security>
            <authorization>
                <add accessType="Deny" users="*"/>
                <add accessType="Allow" users="MYDOMAIN\SPECIAL_ACCOUNT"/>
            </authorization>
        </security>
    </system.webServer>
</location>

但我的问题是，有了以上内容，SPECIAL_ACCOUNT 可以访问所有其他页面，因为我需要添加到一般页面：

<authentication mode="Windows" />
<identity impersonate="true"/>
<authorization>
    <allow users="MYDOMAIN\SPECIAL_ACCOUNT" />
    <allow users="MYDOMAIN\MY_SITE_USERS"/>
    <deny users="?" />
    <deny users="*" />
</authorization>

否则 MYDOMAIN\SPECIAL_ACCOUNT 根本无法登录。

Answer 1

在需要保护的控制器上使用操作过滤器。

public class FilterAccountsAttribute : ActionFilterAttribute
{
    public override void OnActionExecuting(ActionExecutingContext filterContext)
    {
       string username = filterContext.HttpContext.User.Identity.Name;
       //do your logic here for access.

       //if allow no need to do anything

       //else redirect to error page etc?
        filterContext.Result = new RedirectToRouteResult(
                               new RouteValueDictionary
                               {
                                   { "action", "Error" },
                                   { "controller", "Home" },
                                   {"area", ""}
                               });

    }
}

然后像这样使用：

[FilterAccounts]
public class HomeController : Controller
{
}

您甚至可以扩展上述内容以获取参数。如果您可以将所有逻辑推入一个过滤器，那么您只需要记住将其添加到您的所有控制器中，并带有保护它所需的参数。

[FilterAccounts(FilterEnum.OnlySpecialAccount)]
[FilterAccounts(FilterEnum.OnlySiteUsers)]

Answer 2

您是否尝试过使用类似于以下方法的任何方法？

public static class ApplicationRoles
{
    public const string SpecialAccount = @"domain\Special Account";
    public const string MySiteUsers = @"domain\My Site Users";
}

[Authorize(Roles = ApplicationRoles.SpecialAccount)] 
public class SpecialAction()
{
    //stuff
}

[Authorize(Roles = ApplicationRoles.MySiteUsers)] 
public class DoSomething()
{
    //stuff
}

如果您正在寻找基于 web.config 的解决方案，那么值得一看 Dynamic Controller/Action Authorization in ASP.NET MVC。

希望这会有所帮助...