使用 ASP.NET 标识保护 ASP.NET Web 表单页面

Question

我正在使用 Web 表单开发小型部门规模的应用程序。技术选择来自过去，因为应用程序基于已经存在的旧应用程序 + Web 表单对于我们的案例来说似乎非常快速和高效。

VS 2015 中的默认模板创建所有登录页面等。我为用户分配角色。问题来了如何保护特定文件夹或页面只对具有特定角色的用户可用？

我唯一的想法是：

If Not Page.User.Identity.IsAuthenticated or Not Page.User.Identity.IsInRole("MyRole") Then
  Response.Redirect("~/Account/Login?ReturnUrl=" & Server.UrlEncode(Request.Url.ToString())
End If

应用程序中有很多页面并不方便。我看到 MVC 用属性解决了这个问题

[Authorize( Roles = Constants.ADMIN )]

实现这一目标的最佳方法是什么？请指教。

Answer 1

您可以在 Web.config 中限制对页面和文件夹的访问，而不是在每个页面上编写 If Then Else 代码。

例子...

限制特定角色对特定页面的访问

  <location path="SecureFolder/SecurePage.aspx"  >
    <system.web>
      <authorization>
        <deny users="*"/>
        <allow roles="Manager,Admin"/>            
      </authorization>
    </system.web>
  </location>

将特定文件夹的访问权限限制为特定角色

  <location path="AdminFolder"  >
    <system.web>
      <authorization>
        <deny users="*"/>
        <allow roles="Admin"/>            
      </authorization>
    </system.web>
  </location>

您对应用程序中需要保护的所有页面和文件夹重复 <location> 元素。

有关 MSDN 的更多信息，请点击此处：https://support.microsoft.com/en-us/kb/316871

文件夹级 Web.config 示例

将所有内容都放在 Web 应用程序的主 Web.config 中的另一种方法是在需要保护的每个文件夹中创建一个 Web.config 文件。执行此操作时，您不需要文件夹的 Web.config 文件中的任何其他内容，也不需要包含 <location> 元素

例如您可以在 AdminFolder 目录中创建一个仅包含以下代码的新 Web.config 文件，而不是将 AdminFolder 配置放在主 Web.config 文件中。

<?xml version="1.0" encoding="utf-8"?>
<configuration>
  <system.web>
    <authorization>
      <allow roles="Admin" />
      <deny users ="*" />
    </authorization>
  </system.web>
</configuration>