ASP.NET与IIS7.0下Forms认证后，已登录用户无法访问静态内容求助

你遇到的这个问题其实是ASP.NET Forms认证的一个常见“坑”——静态文件默认不会经过ASP.NET的认证/授权管道。IIS会直接处理PDF、图片这类静态资源，完全绕开了ASP.NET的FormsAuthentication模块，所以哪怕你已经登录，IIS依然不知道用户的认证状态，还是会触发授权规则里的<deny users="?" />，跳转到登录页。

下面给你几个具体的解决方法，按推荐程度排序：

方法1：让静态文件通过ASP.NET管道处理（集成模式下推荐） #

在存放静态文件的文件夹的web.config中，添加<system.webServer>配置，指定静态文件由ASP.NET的StaticFileHandler处理，这样认证信息就能被正确识别了。修改后的配置如下：

<configuration>
  <system.web>
    <authorization>
      <deny users="?" />
    </authorization>
  </system.web>
  <system.webServer>
    <handlers>
      <!-- 针对PDF文件的处理规则 -->
      <add name="PdfAuthHandler" path="*.pdf" verb="*" 
           type="System.Web.StaticFileHandler" 
           modules="ManagedPipelineHandler" 
           resourceType="File" 
           requireAccess="Read" />
      <!-- 针对图片文件的处理规则，可根据需要添加更多后缀 -->
      <add name="ImageAuthHandler" path="*.jpg;*.png;*.gif;*.bmp" verb="*" 
           type="System.Web.StaticFileHandler" 
           modules="ManagedPipelineHandler" 
           resourceType="File" 
           requireAccess="Read" />
    </handlers>
  </system.webServer>
</configuration>

这个配置的核心是modules="ManagedPipelineHandler"，它会让静态文件请求进入ASP.NET的集成管道，这样Forms认证的用户信息就能被授权规则读取到了。

方法2：检查登录逻辑是否正确设置认证Cookie #

确认你的登录页代码中，是否正确调用了Forms认证的方法来保存用户凭证。比如：

// 验证用户账号密码后，调用以下方法之一
// 方法1：直接跳转到之前请求的页面
FormsAuthentication.RedirectFromLoginPage("用户名", false);
// 方法2：设置认证Cookie，然后手动跳转
FormsAuthentication.SetAuthCookie("用户名", false);
Response.Redirect(FormsAuthentication.GetRedirectUrl("用户名", false));

如果没有正确设置认证Cookie，哪怕页面显示“登录成功”，ASP.NET也不会识别用户的认证状态，自然无法访问受保护的静态文件。

方法3：使用IIS经典模式的映射（不推荐，仅兼容旧环境） #

如果你的网站运行在IIS经典模式下（现在很少用了），需要在IIS管理器中为静态文件添加脚本映射，将它们指向aspnet_isapi.dll：

• 打开IIS管理器，找到你的网站或目标文件夹
• 右键选择“属性” -> “主目录” -> “配置”
• 在“映射”标签页，点击“添加”
• 可执行文件选择C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_isapi.dll（根据你的.NET版本调整路径）
• 扩展名填写.pdf、.jpg等，勾选“确认文件是否存在”
• 重复步骤3-5添加所有需要保护的静态文件后缀

不过这种方式性能不如集成模式，除非是遗留系统，否则优先用方法1。

额外注意事项 #

• 确保根web.config中的Forms认证配置完整，比如可以补充protection="All"（默认也是All）、timeout="30"等参数，避免其他潜在问题：

  <authentication mode="Forms">
    <forms name=".ASPXAUTH" loginUrl="Login.aspx" protection="All" timeout="30" path="/" />
  </authentication>
  

• 检查浏览器是否禁用了Cookie，Forms认证依赖Cookie来保存用户凭证，如果Cookie被禁用，登录状态无法维持。

内容的提问来源于stack exchange，提问作者RL20