使用MVC和ASP.NET身份认证网址

在无痕模式下测试,以防止浏览器缓存问题！
并使用Ctrl F5,因为脚本和html文件被缓存.

首先拒绝访问根web.config中的所有匿名用户.

<authorization>
    <deny users="?"/>        
</authorization>

这里的web.config允许一个文件夹被公开访问.这个文件夹,在我的示例中,被称为css,它位于MVC应用程序的根目录下.对于css文件夹,我将以下授权添加到根web.config中：

<location path="css">
    <system.web>
        <authorization>          
            <allow users="*"/>
        </authorization>
    </system.web>
</location>

如果您想要更多的公用文件夹,您可以添加更多的这些位置路径.

尽管所有其他文件在用户登录之前将无法访问,但是始终可以访问css文件夹及其内容.

我还将一个静态文件处理程序添加到根web.config中,这是至关重要的,因为您希望由asp.net管道为特定文件类型管理请求：

<handlers>
    <add name="HtmlScriptHandler" path="*.html" verb="*" preCondition="integratedMode" type="System.Web.StaticFileHandler" />
</handlers>

完成根web.config

<system.web>
    <authentication mode="None" />
    <authorization>
        <deny users="?"/>        
    </authorization>
    <compilation debug="true" targetFramework="4.6.2" />
    <httpRuntime targetFramework="4.6.2" />
</system.web>
<location path="css">
    <system.web>
        <authorization>          
            <allow users="*"/>
        </authorization>
    </system.web>
</location>
<system.webServer>
    <modules>
        <remove name="FormsAuthentication" />           
        <remove  name="UrlAuthorization" />
        <add  name="UrlAuthorization" type="System.Web.Security.UrlAuthorizationModule"  />     
    </modules>
    <handlers>
        <add name="HtmlScriptHandler" path="*.html" verb="*" preCondition="integratedMode" type="System.Web.StaticFileHandler" />
    </handlers>      
</system.webServer>

默认情况下,ASP.NET将仅将allow和deny规则应用于托管处理程序处理的文件.静态文件不由托管处理程序管理.

你也可以设置：(不要这样做,如果不是真的需要！)

<modules runAllManagedModulesForAllRequests="true">

使用runAllManagedModulesForAllRequests =“true”,所有HTTP模块将在每个请求上运行,而不仅仅是托管请求(例如.aspx,ashx).这意味着模块将在每个.jpg,.gif,.css,.html,.pdf,…请求上运行.

一件重要的事情
您不必将UrlAuthorizationModule添加到模块部分,因为它已经是ASP.NET管道的一部分.这意味着它只会运行于托管文件,而不是静态的！

如果现在删除然后重新添加UrlAuthorizationModule到模块部分,它将运行在前提条件“integratedMode”,而不是在“managedHandler”下面！因此,可以访问静态文件.

<remove  name="UrlAuthorization" />
<add  name="UrlAuthorization" type="System.Web.Security.UrlAuthorizationModule" />

如果设置前提条件进行管理：
< add name =“UrlAuthorization”type =“System.Web.Security.UrlAuthorizationModule”preCondition =“managedHandler”/&gt,则UrlAuthorizationModule不再限制对静态文件的访问. 您可以通过在登录时成功访问脚本文件夹中的脚本文件来测试此操作.按住Ctrl F5确保您获得脚本文件的新副本. Difference between ASP.NET UrlAuthorization <–> IIS URL Authorization

It is important to keep in mind that the managedHandler precondition
is on the ASP.NET UrlAuthorization module. The precondition tells you
that the URL authorization module is invoked only when the code that
handles the request is mapped to managed code,typically an .aspx or
.asmx page. IIS URL Authorization,on the other hand,applies to all
content. You can remove the managedHandler precondition from the
ASP.NET Url Authorization module. It is there to prevent a performance
penality you have to pay when every request (such as a request to
.html or .jpg pages) would have to go through managed code.

P.S .:一些web.config属性是区分大小写的！