表单授权异常：配置<allow Roles="Admin"/>后非Admin用户仍可访问Admin页面

一、先理清表单授权的核心逻辑 #

ASP.NET的表单授权是基于规则匹配顺序生效的，核心要点有这几个：

• 授权规则在web.config的<authorization>节点中定义，系统会从上到下依次检查规则，只要匹配到第一条符合的规则就会停止后续检查。
• 默认情况下，如果你没有配置任何<authorization>规则，ASP.NET会隐式添加一条<allow users="*"/>——也就是允许所有用户访问所有资源。
• 当你手动添加<allow Roles="Admin"/>时，这条规则只会让Admin角色的用户获得访问权限，但因为默认的“允许所有”规则依然在生效（或者说没有被覆盖），所以其他用户并没有被明确拒绝，自然也能访问目标页面。

二、解决你的权限配置问题 #

要实现仅允许Admin角色用户访问Admin页面，你需要在允许Admin的规则之后，明确添加一条拒绝所有其他用户的规则。具体配置如下：

<system.web>
  <!-- 其他配置内容 -->
  <authorization>
    <allow roles="Admin"/> <!-- 先允许Admin角色访问 -->
    <deny users="*"/>      <!-- 再拒绝所有未被允许的用户 -->
  </authorization>
</system.web>

额外注意事项：

• 规则顺序绝对不能搞反：如果先写<deny users="*"/>，那么包括Admin在内的所有用户都会被拒绝，完全违背你的需求。
• 如果只是想限制特定页面（而非整个站点），可以用<location>节点指定目标页面路径，这样更精准：

<location path="Admin/AdminDashboard.aspx">
  <system.web>
    <authorization>
      <allow roles="Admin"/>
      <deny users="*"/>
    </authorization>
  </system.web>
</location>

这样配置后，只有属于Admin角色的用户才能访问目标页面，其他用户会被拒绝访问（通常会跳转到登录页，具体取决于你的表单登录配置）。

内容的提问来源于stack exchange，提问作者Jayant Kumar