¿Cómo permito a todos los usuarios acceder a una ruta dentro de un sitio web con autenticación integrada?

Question

Tengo una aplicación ASP.Net MVC que usa Integrated Security que necesito para poder otorgar acceso abierto a una ruta específica. La ruta en cuestión es ~/Agreements/Upload. He intentado algunas cosas y nada ha funcionado hasta ahora.

<configuration> 
    <location path="~/Agreements/Upload"> 
    <system.web> 
     <authorization> 
     <allow users="*"/> 
     </authorization> 
    </system.web> 
    </location> 
</configuration> 

En IIS en el directorio de seguridad> Métodos de autenticación que sólo tienen "autenticación integrada de Windows" seleccionado. Ahora, esto podría ser parte de mi problema (ya que aunque IIS permite que el IIS anterior no lo haga). Pero si ese es el caso, ¿cómo lo configuro para que la seguridad integrada funcione, pero permite que las personas que no están autenticadas accedan a la ruta determinada?

Answer 1

necesita permitir el acceso anónimo en IIS, así, de lo contrario sólo ventanas usuarios autenticados podrán acceder a cualquier lugar de su sitio. Debe denegar el acceso por defecto a los usuarios anónimos.

<deny users="?"/> 
<allow users="*"/> 

En su sección <location>, permiten a los usuarios anónimos.

<allow users="?"/> 

Answer 2

En ASP.NET MVC no debe usar el elemento de ubicación en el archivo web.config. Mientras que el motor de formularios web se asigna a los archivos físicos en el disco, el motor MVC usa el enrutamiento. Esto significa que podría permitir el acceso a un "controlador protegido" inadvertidamente a través de una ruta personalizada por accidente.

La forma recomendada de asegurar las aplicaciones ASP.NET MVC es a través del uso del atributo Autorizar, como se ve en el siguiente ejemplo:

public class HomeController : Controller 
{ 
    [Authorize] 
    public ActionResult Index() 
    { 
     return View(); 
    } 
} 

La acción del controlador es lo que se quiere proteger y no la ruta . La DBO ASP.NET MVC Seguridad, Levi Broderick es bastante vocales sobre este tema:

1. Excluding an action from authorization in ASP.NET MVC 2
2. Problem with Authorization with IIS and MVC.