设置授权和“拒绝访问”页面

Question

我正在开发一个 ASP.Net MVC 应用程序。我想拒绝所有未经身份验证或不在 AD 组中的用户访问。只有这个 AD 组应该有访问权限。例外是“你不能通过！”页。任何人都可以访问它。

在项目根目录中，我的 web.config 中有这个（为简洁起见，对文件的其余部分进行了修剪）：

<?xml version="1.0" encoding="utf-8"?>
<configuration>
    <system.web>
        <customErrors mode="On">
            <error statusCode="401" redirect="/ui/Other/YouShallNotPass.html" />
        </customErrors>
        <compilation debug="true" targetFramework="4.5.2" />
        <httpRuntime targetFramework="4.5.2" />
        <authentication mode="Windows" />
        <authorization>
            <allow roles="allowedrole"/>
            <deny users="*"/>
        </authorization>
    </system.web>
    <system.webServer>
        <httpErrors>
            <remove statusCode="401" />
            <error statusCode="401" 
                   subStatusCode="2" 
                   responseMode="ExecuteURL" 
                   path="/ui/Other/YouShallNotPass.html" />
        </httpErrors>
    </system.webServer>
</configuration>

我在ui/Other/YouShallNotPass.html 旁边还有第二个 web.config。我希望这允许任何人访问此页面，无论是否经过身份验证：

<configuration>
    <system.web>
        <authorization>
            <allow users="?"/>
        </authorization>
    </system.web>
</configuration>

我可以通过将 AD 组设置为不存在的组来测试这一点。我不属于不存在的组，所以我应该期待看到YouShallNotPass.html 页面。

它没有按预期工作。我的浏览器出现以下错误：

错误消息 401.2.：未经授权：由于服务器配置，登录失败。根据您提供的凭据和 Web 服务器上启用的身份验证方法，验证您是否有权查看此目录或页面。

如果我直接请求YouShallNotPass.html，我可以在提示输入用户/密码后访问它。

我做错了什么？用户未授权时为什么不提供401页面？

Answer 1

查看此question，因为它解释了为什么您的解决方案不起作用。

因此，一旦您使用 [Authorize] 对所有安全控制器操作进行注释，您就可以添加自定义 ExceptionFilter

喜欢这个

public class HandleUnauthorizedAttribute : HandleErrorAttribute
{
    public override void OnException(ExceptionContext filterContext)
    {
        base.OnException(filterContext);

        if (filterContext.Exception.GetType() != typeof (SecurityException)) return;

        var controllerName = (string) filterContext.RouteData.Values["controller"];
        var actionName = (string) filterContext.RouteData.Values["action"];
        var model = new HandleErrorInfo(filterContext.Exception, controllerName, actionName);

        filterContext.Result = new ViewResult
        {
            ViewName = "Unauthorized",
            ViewData = new ViewDataDictionary<HandleErrorInfo>(model),
            TempData = filterContext.Controller.TempData
        };
        filterContext.ExceptionHandled = true;
        filterContext.HttpContext.Response.Clear();
        filterContext.HttpContext.Response.StatusCode = 403;
        filterContext.HttpContext.Response.TrySkipIisCustomErrors = true;
    }
}

然后在这里接线

public class FilterConfig
{
    public static void RegisterGlobalFilters(GlobalFilterCollection filters)
    {
        filters.Add(new HandleUnauthorizedAttribute());
    }
}

Answer 2

通过将以下内容添加到我的 global.asax 来解决此问题：

protected void Application_EndRequest(object sender, EventArgs e)
{
    if (Response.StatusCode != 401)
        return;

    Response.ClearContent();
    Response.WriteFile("~/ui/Other/YouShallNotPass.html");
    Response.ContentType = "text/html";
}

不过，我更愿意使用 web.config 来执行此操作。