ASP.NET站点：配置Windows身份验证，仅允许特定账户访问指定控制器

我明白你现在遇到的困境：既要让MYDOMAIN\MY_SITE_USERS访问大部分页面，又要让MYDOMAIN\SPECIAL_ACCOUNT只能访问指定的~/SpecialAction/Do，同时完全禁止它访问其他页面。之前用web.config的location节点配置时出现了两难情况，要么特殊账户能逛遍全站，要么连登录都做不到——这其实是全局授权规则和路径特定规则的冲突导致的。下面给你两种可靠的解决办法：

方法一：使用控制器/动作级别的[Authorize]属性（推荐） #

这种方式更灵活，也更符合ASP.NET的最佳实践，把权限控制直接绑定到代码上，维护起来更清晰。

1. 调整全局web.config配置 #

首先在全局配置里只允许MY_SITE_USERS访问，同时拒绝匿名和其他所有已认证用户（包括SPECIAL_ACCOUNT）：

<authentication mode="Windows" />
<identity impersonate="true"/>
<authorization>
  <allow users="MYDOMAIN\MY_SITE_USERS"/>
  <deny users="?" /> <!-- 拒绝未登录的匿名用户 -->
  <deny users="*" /> <!-- 拒绝所有其他已认证用户，包括SPECIAL_ACCOUNT -->
</authorization>

2. 在目标动作上添加授权属性 #

创建SpecialActionController，并给Do动作添加[Authorize]属性，指定仅允许SPECIAL_ACCOUNT访问：

public class SpecialActionController : Controller
{
    // 仅允许指定特殊账户访问此动作
    [Authorize(Users = "MYDOMAIN\\SPECIAL_ACCOUNT")]
    public ActionResult Do()
    {
        // 这里写你的业务逻辑
        return View();
    }
}

原理说明：ASP.NET的动作级[Authorize]属性会优先于全局授权规则生效。全局规则会拒绝SPECIAL_ACCOUNT访问所有页面，但这个动作上的属性会覆盖全局规则，只允许它访问/SpecialAction/Do，完美符合你的需求。

方法二：修正web.config的location节点配置 #

如果你更倾向于用配置文件管理权限，可以调整location节点的配置逻辑，避免全局规则和路径规则冲突：

1. 全局配置保持和方法一一致 #

<authentication mode="Windows" />
<identity impersonate="true"/>
<authorization>
  <allow users="MYDOMAIN\MY_SITE_USERS"/>
  <deny users="?" />
  <deny users="*" />
</authorization>

2. 配置location节点（注意用system.web下的授权规则） #

之前你用的是system.webServer下的IIS授权规则，容易和ASP.NET自身的授权逻辑冲突。改用system.web下的授权规则，并确保路径写法正确（不要加~）：

<location path="SpecialAction/Do">
  <system.web>
    <authorization>
      <allow users="MYDOMAIN\SPECIAL_ACCOUNT"/>
      <deny users="*"/> <!-- 拒绝其他所有用户，包括MY_SITE_USERS -->
    </authorization>
  </system.web>
</location>

原理说明：system.web下的授权规则是ASP.NET自身的权限控制，全局规则和location规则会按优先级叠加：全局规则拒绝SPECIAL_ACCOUNT，但location规则单独允许它访问指定路径，同时拒绝其他用户，这样就不会出现之前的两难问题了。

这两种方法都能满足你的访问规则需求，个人更推荐第一种，因为代码级的权限控制更直观，后续扩展或修改时更方便。

内容的提问来源于stack exchange，提问作者peval27