Sitecore 管理文件夹匿名访问限制答案

【问题标题】：Sitecore admin folder anonymous access restrictionsSitecore 管理文件夹匿名访问限制
【发布时间】：2026-02-20 14:25:01
【问题描述】：

Sitecore security hardening guide 指示通过禁用匿名访问来限制对 /sitecore/admin 文件夹的访问。但是，在我这样做之后，当我尝试访问 /sitecore/admin/cache.aspx 之类的页面时遇到 IIS 错误。

HTTP 错误 401.2 - 未经授权。由于身份验证标头无效，您无权查看此页面。

是否应该仅在我不想访问管理页面时才禁用匿名访问？

我的站点核心版本是 6.6.0（修订版 130404）。

【问题讨论】：

【解决方案1】：

除了禁用匿名访问之外，您还应该确保启用了某种其他身份验证方法。默认情况下，IIS7+ 没有任何其他可用的身份验证方法，因此所有流量都会收到“未经授权”错误。启用另一种身份验证方式后，IIS 将允许您访问 /sitecore/admin 路径（此时，Sitecore 的身份验证可能会启动）。

我过去通过在机器上创建本地用户并启用基本身份验证来完成此操作。请记住，基本身份验证不太安全，因为凭据以明文形式通过网络传递，但在这种情况下，我们强制通过 SSL 进行流量。

虽然强化指南中没有详细说明，但您也可以查看通过 IP 地址限制对该目录的访问。例如，在生产内容交付服务器上，将访问限制为仅 localhost，这意味着您无法浏览该目录，除非直接通过 RDP 连接到服务器。

【讨论】：

【解决方案2】：

我认为您应该删除外联网/匿名访问，但要确保站点核心/每个人（或其他角色）都具有访问权限。

这样您只能在登录 Sitecore 时访问它。

使用访问查看器检查用户是否有权访问它。

我认为这些页面现在有一个 Sitecore 登录。我知道 /sitecore/admin/dbbrowser.aspx 有一个。

【讨论】：

Sitecore 安全强化指南不涉及站点核心角色。它指示使用 IIS See here 限制匿名访问。在我这样做之后，我什至没有得到 sitecore 管理员登录页面。这就是我面临的问题。甚至对 /sitecore/admin/login.aspx 页面的访问也被 IIS 禁用。
Sitecore 安全强化指南不会，因为自 6.2 100507 及更高版本以来，它仍然仅限于匿名用户。当匿名用户尝试访问其中一个页面时，将显示一个登录页面。您可以在生产环境中限制 Sitecore 文件夹，只允许某些 ip 请求这些页面，以防您想加强安全性。
好吧，想过IIS匿名访问，但没想到会这样。正如@Younes 所说，对这些页面的访问权现在无论如何都被撤回了。

【解决方案3】：

除非是生产环境，否则我不会禁用匿名访问。我不确定您是如何设置环境的，但理想情况下缓存清除应该在您的舞台/uat 环境中。

【讨论】：

我认为这里的环境并不重要。在开发最终产品环境中可能都需要 Sitecore 管理实用程序。我以cache.aspx 为例。还有更多管理实用程序在生产环境中很有帮助。所以我想在限制匿名访问的同时访问管理页面。