Làm cách nào để bảo vệ các tệp tĩnh với xác thực mẫu ASP.NET trên IIS 7.5?

Question

Tôi có một trang web chạy trên một máy chủ IIS 7.5 với ASP.NET 4.0 trên một máy chủ chia sẻ, nhưng hoàn toàn tin tưởng.

Trang web là trình duyệt tệp "cơ bản" cho phép khách truy cập đăng nhập và có danh sách tệp sẵn có cho họ hiển thị và rõ ràng là tải xuống tệp. Các tệp tĩnh (chủ yếu là tệp pdf) được đặt trong thư mục con trên trang web được gọi là dữ liệu, ví dụ: http://example.com/data/ ...

Trang web sử dụng xác thực mẫu ASP.NET.

Câu hỏi của tôi là: Làm cách nào để công cụ ASP.NET xử lý các yêu cầu cho tệp tĩnh trong thư mục dữ liệu, do đó yêu cầu tệp được xác thực bởi ASP.NET và người dùng không thể liên kết sâu vào một tập tin và lấy các tập tin mà họ không được phép có?

Trân trọng, Egil.

Answer 1

Nếu hồ bơi ứng dụng của bạn đang chạy ở chế độ Tích hợp, bạn có thể thực hiện các thao tác sau.

Thêm nội dung sau vào web.config cấp cao nhất của bạn.

<system.webServer> 
    <modules> 
     <add name="FormsAuthenticationModule" type="System.Web.Security.FormsAuthenticationModule" /> 
     <remove name="UrlAuthorization" /> 
     <add name="UrlAuthorization" type="System.Web.Security.UrlAuthorizationModule" /> 
     <remove name="DefaultAuthentication" /> 
     <add name="DefaultAuthentication" type="System.Web.Security.DefaultAuthenticationModule" /> 
    </modules> 
    </system.webServer> 

Bây giờ bạn có thể sử dụng quyền ASP.NET chuẩn trong web.config để buộc xác thực biểu mẫu cho tất cả các tệp trong thư mục.

<system.web> 
    <authorization> 
     <deny users="?" /> 
    </authorization> 
    <authentication mode="Forms" /> 
</system.web> 

Answer 2

Tôi gặp vấn đề tương tự với việc nhận vai trò để xác thực. Qua thử và sai Cuối cùng tôi đã nhận nó để làm việc với một chỉnh sửa nhỏ để @Joel đang Cunningham:

<modules runAllManagedModulesForAllRequests="true" > 

tôi đã sử dụng hai trang web này như là tài liệu tham khảo: http://forums.iis.net/t/1177964.aspx và http://learn.iis.net/page.aspx/244/how-to-take-advantage-of-the-iis-integrated-pipeline/

Answer 3

Đây là một chủ đề cũ, nhưng tôi đã xảy ra trên nó và chạy vào cùng một vấn đề như Egil. Dưới đây là phiên bản của sửa chữa của Joel bao gồm vai trò:

<modules runAllManagedModulesForAllRequests="false"> 
     <remove name="FormsAuthenticationModule" /> 
     <add name="FormsAuthenticationModule" type="System.Web.Security.FormsAuthenticationModule" /> 
     <remove name="UrlAuthorization" /> 
     <add name="UrlAuthorization" type="System.Web.Security.UrlAuthorizationModule" /> 
     <remove name="RoleManager" /> 
     <add name="RoleManager" type="System.Web.Security.RoleManagerModule" /> 
     <remove name="DefaultAuthentication" /> 
     <add name="DefaultAuthentication" type="System.Web.Security.DefaultAuthenticationModule" /> 
</modules> 

Answer 4

Phụ Lục:

Như @eych lưu ý này khối cũng truy cập vào các thư mục ~/Content (hoặc bất cứ nơi nào bạn có CSS ​​của bạn), và ~/Scripts, vv trên.

Nếu bạn muốn cho phép ngoại lệ - nghĩa là cho phép người dùng chưa được xác thực truy cập tệp/thư mục nhất định - bạn có thể thực hiện điều đó bằng phần tử location. Thêm dòng sau vào web.config:

<location path="Content"> 
    <system.web> 
     <authorization> 
     <allow users="*" /> 
     </authorization> 
    </system.web> 
    </location> 

---

Cập nhật: Một giải pháp tốt hơn là để là để lại truy cập vào theo mặc định - mà sẽ cho phép truy cập vào CSS của bạn/JavaScript/vv - và áp dụng các "khóa" (chỉ) vào thư mục nơi mà các nội dung tĩnh được lưu trữ:

<location path="data"> 
    <system.web> 
    <authorization> 
     <deny users="?"/> 
    </authorization> 
    </system.web> 
</location> 

Nên biết trước: trong trường hợp của chúng tôi (một trang web MVC) chúng tôi cần để trang trí tất cả các hành động điều khiển của chúng tôi (ngoại trừ đăng nhập) với [AuthorizeAttribute].Tuy nhiên, đó là một ý tưởng hay, nhưng trước đây không cần thiết (vì trước đây mọi yêu cầu bất hợp pháp được chuyển hướng đến trang đăng nhập).

Answer 5

Tôi muốn biết lý do tại sao cần phải thêm lại mô-đun (với tùy chọn mặc định) được thêm theo mặc định cho Đường ống tích hợp, vì vậy tôi đào sâu hơn một chút.

Bạn cần xóa và thêm lại mô-đun vì, theo mặc định, các mô-đun không được thêm vào với các tùy chọn mặc định. Chúng có điều kiện tiên quyết được thêm vào để tương thích ngược để chỉ chạy cho nội dung được xử lý bởi trình xử lý ASP.NET đã đăng ký (ví dụ: các trang .aspx).

Giá trị mặc định trông như thế này:

<add name="FormsAuthentication" type="System.Web.Security.FormsAuthenticationModule" 
     preCondition="managedHandler" /> 

Bằng cách loại bỏ các mô-đun và tái bổ sung chúng mà không có một điều kiện tiên quyết, những mô-đun riêng chạy cho mọi yêu cầu (bao gồm cả nội dung tĩnh của bạn). Chi tiết hơn là kích hoạt runAllManagedModulesForAllRequests.

Bạn có thể đọc về nó trong một vài bài viết từ khi đường ống Tích hợp được giới thiệu với IIS 7:

• ASP.NET Integration with IIS 7
• How to Take Advantage of the IIS 7.0 Integrated Pipeline

Lưu ý rằng có một lỗi đánh máy hoặc các mô-đun tên trong bài viết thứ hai (và câu trả lời của @ John) đã được thay đổi từ FormsAuthenticationModule thành FormsAuthentication tại một số thời điểm.

Tập hợp các module làm việc trong IIS 7,5-8,5 vẻ như thế này đối với tôi:

<system.webServer> 
    <modules> 
    <!-- Re-add auth modules (in their original order) to run for all static and dynamic requests --> 
    <remove name="FormsAuthentication" /> 
    <add name="FormsAuthentication" type="System.Web.Security.FormsAuthenticationModule" /> 
    <remove name="DefaultAuthentication" /> 
    <add name="DefaultAuthentication" type="System.Web.Security.DefaultAuthenticationModule" /> 
    <remove name="RoleManager" /> 
    <add name="RoleManager" type="System.Web.Security.RoleManagerModule" /> 
    <remove name="UrlAuthorization" /> 
    <add name="UrlAuthorization" type="System.Web.Security.UrlAuthorizationModule" /> 
    </modules> 
</system.webServer> 

Answer 6

Nếu bạn ứng dụng hồ bơi đang chạy trong chế độ Classic, bạn có thể làm như sau. Bạn sẽ phải lặp lại các bước này cho từng tiện ích mở rộng tệp mà bạn muốn xử lý, nhưng tôi đang sử dụng .html tại đây.

Đầu tiên, thêm một nhà cung cấp trang xây dựng vào Web.config:

<?xml version="1.0" encoding="UTF-8"?> 
<configuration> 
    <system.web> 
    <compilation> 
     <buildProviders> 
     <add type="System.Web.Compilation.PageBuildProvider" extension=".html"/> 
     </buildProviders> 
    </compilation> 
    </system.web> 
</configuration> 

Sau đó, thêm một nhà máy xử lý trang:

<?xml version="1.0" encoding="UTF-8"?> 
<configuration> 
    <system.web> 
    <httpHandlers> 
     <add type="System.Web.UI.PageHandlerFactory" path="*.html" verb="*"/> 
    </httpHandlers> 
    </system.web> 
</configuration> 

Sau đó, thêm một handler page:

<?xml version="1.0" encoding="UTF-8"?> 
<configuration> 
    <system.webServer> 
    <handlers> 
     <add scriptProcessor="C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_isapi.dll" requireAccess="Script" preCondition="classicMode,runtimeVersionv2.0,bitness32" path="*.html" verb="GET,HEAD,POST,DEBUG" modules="IsapiModule" name="HtmlHandler-Classic-32" /> 
     <add scriptProcessor="C:\Windows\Microsoft.NET\Framework64\v4.0.30319\aspnet_isapi.dll" requireAccess="Script" preCondition="classicMode,runtimeVersionv2.0,bitness64" path="*.html" verb="GET,HEAD,POST,DEBUG" name="HtmlHandler-Classic-64"/> 
    </handlers> 
    </system.webServer> 
</configuration> 

Điều này làm việc cho tôi. (Tín dụng: http://www.ifinity.com.au/Blog/EntryId/66/How-To-301-Redirect-htm-or-html-pages-to-DotNetNuke-aspx-pages.)