用于表单身份验证的正确 IIS 6 配置答案

【问题标题】：proper IIS 6 configuration for forms authentication用于表单身份验证的正确 IIS 6 配置
【发布时间】：2011-04-21 08:02:48
【问题描述】：

我在当前的 ASP.NET Web 应用程序（不是 MVC）中使用表单身份验证，并且我的 IIS 6 服务器配置了以下选项：

在 [目录安全选项卡] -> [身份验证方法] 我有：

启用匿名访问
已启用集成 Windows 身份验证

上述选项是否会阻止表单身份验证正常工作？换句话说，表单身份验证的正确 IIS 6 配置是什么？

编辑

我刚刚启用了上面的两个选项进行了测试，并且表单身份验证会话已过期并将我重定向到登录页面，但到目前为止所有的答案都建议应该关闭 [集成 windows 身份验证]！

【问题讨论】：

过期多久了？您是否尝试在登录后检查 cookie，您可以使用 Firebug（在 Firefox 中）或 IE 开发人员工具栏（按 F12）。您是否已将标记配置为允许（以及拒绝）在包含您的页面的文件夹中进行访问？
我想要的 30 分钟，是的标签可能已配置，并且上述两个选项都已启用！！！

标签： asp.net configuration iis-6 security

【解决方案1】：

这是在 IIS6 上使用 ASP.NET 表单身份验证的检查清单

配置 IIS：

在 IIS 中，站点属性 -> 目录安全 -> 身份验证和访问控制

启用匿名访问
禁用所有经过身份验证的访问方法

配置表单身份验证：

在您网站的web.config 中配置表单身份验证：

<authentication mode="Forms">
  <forms name="MySite" 
         path="/" 
         loginUrl="~/logon.aspx" 
         protection="All" 
         timeout="30"
         slidingExpiration="true" />
</authentication>

您的name 和loginUrl 可能会有所不同。 slidigExpiration 属性用于继续延长表单身份验证 cookie 的生命周期，而不是在 timeout 过期后将用户踢出站点。 timeout 值以分钟为单位。

配置会话超时：

您需要将会话状态 timeout 配置为长于表单身份验证票证的到期时间。如果您不这样做，则空闲会话可以使会话超时，但让用户保持登录状态。期望 Session 值存在的代码将引发异常，因为即使它们仍然经过身份验证，它们也会消失。 timeout 的值也以分钟为单位。

<sessionState mode="InProc" timeout="40" />

【讨论】：

【解决方案2】：

由于表单身份验证不依赖于 IIS 身份验证，因此如果您打算在 ASP.NET 应用程序中使用表单身份验证，则应在 IIS 中为您的应用程序配置匿名访问。

查看这里http://msdn.microsoft.com/en-us/library/ff647070.aspx了解更多信息。

【讨论】：

谢谢，换句话说，在使用表单身份验证时应该关闭 [集成 Windows 身份验证]！对
是的。还要确保 James 提到的authenticaiton 标签是正确的。您需要确保您拥有授权> 。这将拒绝任何用户，从而自动重定向到身份验证标签中提到的登录页面。

【解决方案3】：

应该启用匿名访问，我不认为集成的 Windows 身份验证会有所不同，但如果您不需要它，那么最好将其关闭。要记住的重要一点是确保它在 web.config 中打开：

<authentication mode="Forms" />

这是一个可能有用的基本教程：

Overview of Forms Authentication

【讨论】：

【解决方案4】：

匿名访问 -> 选中安全选项卡上的所有其他选项 -> 未选中

注意，表单身份验证是由 .NET 完成的，而不是由 IIS 完成的。此外，Windows 身份验证也必须关闭。

technical explanaitions 由 MS。

【讨论】：