C# Forms身份验证配置异常：匿名用户无法访问Login.aspx

问题场景 #

搭建Forms身份验证应用，要求所有页面仅对已认证用户开放，仅Login.aspx允许匿名/所有用户访问，web.config配置如下：

<system.web>
    <authentication mode="Forms">
        <forms name=".ADAuthCookie" loginUrl="~/Login.aspx" timeout="3"/>
    </authentication>
    <authorization>
        <deny users="?"/>
    </authorization>
    ...
</system.web>
....
<location path="Login.aspx">
    <system.web>
        <authorization>
            <allow users="?"/>
            <!--  also tried this
            <allow users="*"/>
            -->
        </authorization>
    </system.web>
</location>

将Login.aspx设为起始页后运行，出现401.2错误：

Description: An error occurred while accessing the resources required to serve this request. The server may not be configured for access to the requested URL.

Error message 401.2.: Unauthorized: Logon failed due to server configuration. Verify that you have permission to view this directory or page based on the credentials you supplied and the authentication methods enabled on the Web server.

解决方案 #

1. 启用Web服务器必要的认证方式 #

针对VS2019内置的IIS Express：

• 右键项目 → 属性 → 切换到调试标签页
• 点击"Web服务器设置"区域的编辑按钮，打开IIS Express配置编辑器
• 定位到system.webServer/security/authentication节点：
  • 设置anonymousAuthentication为True（允许匿名访问Login页面）
  • 设置formsAuthentication为True（启用Forms认证）

2. 修正web.config授权规则 #

location节点的授权规则需确保优先级正确，直接允许所有用户访问Login.aspx即可，替换原有location配置：

<location path="Login.aspx">
    <system.web>
        <authorization>
            <allow users="*"/> <!-- 允许所有用户（包括匿名和已认证） -->
        </authorization>
    </system.web>
</location>

注：allow users="*"已包含匿名用户（?），无需重复配置。

3. 验证路径匹配准确性 #

确认location节点的path属性与Login.aspx的实际路径完全一致：

• 文件在根目录时，path="Login.aspx"正确
• 文件在子目录（如Account文件夹）时，需改为path="Account/Login.aspx"
• 保持配置与实际文件名一致，避免大小写或路径层级导致的匹配失败

4. 清除浏览器缓存与认证Cookie #

旧的认证Cookie或缓存可能引发访问冲突：

• 打开浏览器开发者工具（F12）→ 应用/存储标签 → 清除相关Cookie与缓存
• 重启VS和IIS Express后重新运行项目

内容的提问来源于stack exchange，提问作者NoBullMan