forms authentication - net - ¿Cómo concedo acceso anónimo a una url usando FormsAuthentication?

web config authentication

Question

En su mayor parte, mi aplicación web requiere autenticación para hacer cualquier cosa. Hay algunas páginas, a saber, la página de inicio, a las que me gustaría que las personas puedan acceder sin autenticación.

Específicamente, me gustaría permitir el acceso anónimo a estas URL:

/home 
/default.aspx

Estoy usando asp.net MVC y FormsAuthentication. Ambas direcciones apuntan a la misma vista:

/home/index.aspx

Aquí está mi configuración actual en web.config.

<authentication mode="Forms">
  <forms loginUrl="~/Account/LogOn" timeout="2880" />      
</authentication>
<authorization>           
  <deny users="?" />      
</authorization>

Al leer la documentación de la etiqueta de autorización, dice "Configura la autorización para una aplicación web, controlando el acceso del cliente a los recursos de URL". Parece que debería poder usar la etiqueta de autorización para especificar una URL y permitir el acceso.

Algo como:

<authentication mode="Forms">
  <forms loginUrl="~/Account/LogOn" timeout="2880" />      
</authentication>

<authorization>           
  <deny users="?" />      
</authorization>

<authorization url="/default.aspx">           
  <allow users="?" />      
</authorization>

<authorization url="/home">           
  <allow users="?" />      
</authorization>

Answer 1

Odio responder a mi propia pregunta, pero como terminé de entenderlo, creo que compartiría el conocimiento.

Use la etiqueta de ubicación y coloque las etiquetas permitir y denegar en el orden correcto.

La etiqueta de ubicación se puede utilizar para configurar un recurso url específico. En mi caso quise configurar algunas URL y carpetas específicamente.

Esto no funcionó al principio porque no tenía el permiso / denegación en el orden correcto. Según MSDN, "el módulo de autorización otorga o niega el acceso a un recurso de URL en función de si la primera regla de acceso encontrada es una regla de permiso o de denegación".

En mi caso, necesitaba poner primero todas mis cosas públicas (default.aspx, inicio, estilos, imágenes, scripts) y luego poner un rechazo en todo lo demás. Dejé el camino en la última etiqueta de ubicación. Eso hace que se aplique a todos los archivos y subcarpetas.

Resultado final, un usuario puede acceder a la página de inicio, extraer imágenes y estilos, pero para todo lo demás debe iniciar sesión.

Aquí está mi archivo de configuración web ahora:

<!--AUTHORIZATION AND AUTHENTICATION RULES-->
  <location path="default.aspx">
    <system.web>

      <authorization>
        <allow users="?"/>
      </authorization>
    </system.web>

  </location>

  <location path="Home">
    <system.web>

      <authorization>
        <allow users="?"/>
      </authorization>
    </system.web>

  </location>

  <location path="Styles">
    <system.web>

      <authorization>
        <allow users="?"/>
      </authorization>
    </system.web>

  </location>

  <location path="Scripts">
    <system.web>

      <authorization>
        <allow users="?"/>
      </authorization>
    </system.web>

  </location>

  <location path="images">
    <system.web>

      <authorization>
        <allow users="?"/>
      </authorization>
    </system.web>

  </location>

  <location allowOverride="true">
    <system.web>
      <authentication mode="Forms">
        <forms loginUrl="~/Account/LogOn" timeout="2880" slidingExpiration="true" />
      </authentication>
      <authorization>
        <deny users="?" />
      </authorization>
    </system.web>
  </location>

  <!--END AUTHORIZATION AND AUTHENTICATION RULES-->