是否可以使用 securityTrimmingEnabled=true 阻止页面打开

Question

我有自定义的 SiteMapProvider 和 RoleProvider 可以正常协同工作：如果请求页面的 SiteMapNode.Roles 中未提及当前用户的角色，IsAccessibleToUser 将返回 false。

所以面包屑或菜单不显示项目。

但是现在用户仍然可以直接键入显示的 URL 并打开一个页面。如何阻止此类行为？

我还有下一个 Web.config 设置：

<authorization>
    <allow roles="Admin,Manager,Client"  />
    <deny users="*" />
</authorization>

Answer 1

public override bool IsAccessibleToUser(HttpContext context, SiteMapNode node)
{
    var roles = node.Roles.OfType<string>();
    if (roles.Contains("*") || (roles.Count(r => context.User.IsInRole(r)) > 0))
    {
        return true;
    }
    else
    {
        throw new InsufficientRightsException();
    }
}