IIS7: Wie blockiere ich den Zugriff mit einer web.config-Datei?

Ich weiß, dass ich mit IIS7 eine Konfiguration pro Verzeichnis mit der XML-Datei web.config durchführen kann. Ich habe ein Verzeichnis mit einigen Konfigurationsdateien, die nicht über das Internet zugänglich sein sollen. Eine lokale web.config-Datei, die den Lesezugriff verweigert, wäre eine gute Lösung.

Was sollte der Inhalt einer web.config-Datei sein, um den Webzugriff auf die Dateien zu verbieten?

Bearbeiten: Ich versuche, eine web.config-Datei mit diesen Inhalten in eine Datei zu setzen:

<?xml version="1.0" encoding="utf-8" ?>
<configuration>
            <system.web>
                    <authorization>
                            <deny users="*" /> <!-- Denies all users -->
                    </authorization>
            </system.web>
</configuration>

Aber ich kann immer noch direkt auf eine Datei im Verzeichnis zugreifen. Was stimmt damit nicht? Wie debugge ich, was passiert?

Sie verwenden system.web. In IIS7 sollten Sie stattdessen system.webServer verwenden. Dadurch werden alle Dateitypen blockiert, nicht nur ASP.NET-Dateien. Sie können beispielsweise JPG, GIF, TXT und alle Arten von Dateien mit einem Kennwort schützen.

Es würde ungefähr so ​​aussehen:

  <system.webServer>
      <security>
          <authorization>
              <remove users="*" roles="" verbs="" />
              <add accessType="Allow" roles="Administrators" />
          </authorization>
      </security>
  </system.webServer>

Und wenn Sie es nur für 1 Datei festlegen möchten:

 <location path="dontlook.jpg">
     <system.webServer>
         <security>
             <authorization>
                 <remove users="*" roles="" verbs="" />
                 <add accessType="Allow" roles="Administrators" />
             </authorization>
         </security>
     </system.webServer>
 </location>

Ich denke, das kann dein Problem lösen.
Platzieren Sie diese web.config in einem Verzeichnis, das das Zielverzeichnis enthält:

<configuration>
 <system.webServer>
  <security>
   <requestFiltering>
    <hiddenSegments>
     <add segment="target directory name"/>
    </hiddenSegments>
   </requestFiltering>
  </security>
 </system.webServer>
</configuration>

Sie können die Location-Knoten in der Web.config verwenden. Hier ist eine detaillierte Erklärung zu msdn ; in einer Nussschale:

<location path="Subdirectory">
    <system.web>
        <authorization>
            <deny users="*"/> <!-- Denies all users -->
        </authorization>
    </system.web>
</location>
<location path="Public_Directory">
    <system.web>
        <authorization>
            <allow users="*"/> <!-- Allows all users -->
        </authorization>
    </system.web>
</location>

Sie können auch die? Platzhalter, der angibt, dass anonyme Benutzer zugelassen / abgelehnt werden sollen

• * bedeutet jeder angemeldete Benutzer.
• ? bedeutet anonyme Benutzer.

Sie müssen verwenden ?.

<?xml version="1.0" encoding="utf-8" ?>
<configuration>
    <system.web>
        <authorization>
            <deny users="?" /> 
        </authorization>
    </system.web>
</configuration>