Xác thực và ủy quyền biểu mẫu MVC 4

Question

Tôi đang cố gắng tạo bộ điều khiển ẩn danh để đạt được xác thực mẫu. Tôi đã cấu hình IIS 7 của mình với xác thực dạng ẩn danh và hình thức bật và đặt web.config của tôi thành từ chối người dùng ẩn danh. Trên bộ điều khiển đăng nhập, tôi đặt trang trí [AllowAnonymous] trên bộ điều khiển của mình (và hành động của tôi).

Hành động duy nhất tôi có thể thực hiện trên cấu hình này là hành động đăng nhập (trả về chế độ xem "đăng nhập") và tôi đoán rằng MVC cho phép tôi thực hiện hành động này vì tôi đặt nó làm thông tin đăng nhập URL trên web.config của tôi.

Dưới đây là cấu hình cấu hình web của tôi:

 <authentication mode="Forms"> 
     <forms loginUrl="~/Login/Login" timeout="2880" /> 
    </authentication> 

Tất cả các hành động khác được chuyển hướng đến hành động đăng nhập. Trong tập hợp cấu hình này, tôi không thể đạt được các hành động quan trọng khác như khôi phục mật khẩu, đăng ký, v.v.

Tôi đang làm gì sai?

Answer 1

Sử dụng bộ lọc xác thực toàn cục với hành vi tùy chỉnh thay vì cấu hình ủy quyền trong web.config (tốt nhất cho MVC)

thêm bộ lọc toàn cầu

public class FilterConfig 
{ 
    public static void RegisterGlobalFilters(GlobalFilterCollection filters) 
    { 
     filters.Add(new AuthorizeAttribute()); 
    } 
} 

Sau đó, [AllowAnonymous] sẽ hoạt động và tất cả các bộ điều khiển và hành động khác yêu cầu cấp phép.

Answer 2

Bạn có cố gắng cho phép uỷ quyền giấu tên cho URL của như trong ví dụ dưới đây

<location path="Login/Login"> 
    <system.web> 
     <authorization> 
      <allow users="*" /> 
     </authorization> 
    </system.web> 
</location> 

Tương tự như này, bạn nên thiết lập cho các ResetPassword/Restore mật khẩu/Đăng ký vv ...

Answer 3

Có hai cách tiếp cận có thể có.

Đầu tiên - bạn có thể từ chối các yêu cầu ẩn danh trên toàn cầu với thuộc tính Authorize và đánh dấu một số thuộc tính không cần ủy quyền với thuộc tính AllowAnonymous (là mới đối với MVC4).

Thứ hai - không từ chối toàn cầu mà là bảo mật các bộ điều khiển/hành động đã chọn của bạn với thuộc tính Ủy quyền.

Answer 4

Bạn cũng có thể đăng ký Authorize lọc trong RegisterGlobalFilters phương pháp:

public static void RegisterGlobalFilters(GlobalFilterCollection filters) 
{ 
    filters.Add(new HandleErrorAttribute()); 
    filters.Add(new AuthorizeAttribute()); 
} 

Và sau đó sử dụng AllowAnonymous thuộc tính về phương pháp hành động đòi hỏi phải truy cập nặc danh:

[Authorize] 
public class AccountController : Controller 
{ 
    [AllowAnonymous] 
    public ActionResult RecoverPassword() 
    { 
    ... 
    } 
}