ASP.NET web.sitemap - les rôles ne semblent pas contrôler la visibilité?

Je soupçonne que vous avez tombé dans le piège de nous le faisons tous, à croire que le rôle de l'attribut limite la visibilité des nœuds. Il n'est pas, en effet, il élargit la visibilité. Toutes les restrictions sont fait avec la section standard dans le web.config.

Complète le texte ci-dessous est à partir de l'original post à https://web.archive.org/web/20130408064047/http://ipona.com/asp-net-site-maps-security-trimming-and-roles/ )

C'est l'une des questions les plus fréquemment posées et semble une source constante de confusion pour tout le monde, comme il l'a été pour moi quand j'ai lu à ce sujet. L'ASP.NET SiteMap permet à une structure de navigation pour être défini comme un ensemble d'éléments XML, qui sont parfaits pour décrire une hiérarchie d'éléments de menu. Ces éléments XML sont un siteMapNode élément, qui a un attribut rôles. Il semble évident que ce définit les rôles qu'on peut voir à ce point, mais l'évidence est en fait mal. Ici est le fait le plus important sur les cartes de site:

Les rôles attribut ne doit pas restreindre la visibilité d'un nœud.

Qui doit être assez claire, même si elle semble encore mal. Voici comment cela fonctionne.
Toute restriction à des pages est assurée par l'autorisation. Vous pouvez le faire soit dans le web de la base.config ou web.les fichiers de configuration dans des dossiers. Par exemple, supposons qu'il existe un dossier Admin, en vertu de laquelle toutes les pages d'administration, sont conservés. Vous voulez seulement ces pages accessibles aux utilisateurs dans le rôle Admin. Vous devez configurer votre autorisation comme suit:

<location path="Admin">
  <system.web>
    <authorization>
      <allow roles="Admin" />
      <deny users="*" />
    </authorization>
  </system.web>
</location>

Le dossier Admin peut désormais plus être consulté par toute personne qui n'est pas dans le rôle d'Administrateur; si vous n'êtes pas dans le rôle d'Administrateur et d'essayer de naviguer d'une page dans le dossier Admin, soit via un lien sur une autre page ou en tapant directement l'URL dans le navigateur, vous serez redirigé vers la page de connexion. Vous pouvez avoir plusieurs emplacement des éléments de votre site web.config, pour différents dossiers ou même des fichiers individuels; en fait, si vous avez un restrictive site, vous pouvez explicitement ouvrir certaines pages, comme la page de connexion; il est difficile de se connecter à un site lorsque vous n'avez pas l'autorisation d'accéder à la page de connexion. Si vous préférez ne pas encombrer votre web de la base.configuration, vous pouvez créer un site web.fichier de config dans le dossier Admin avec les mêmes règles, vous n'aurez pas besoin de l'emplacement de l'élément depuis la configuration s'applique au dossier en cours.

De sorte que l'autorisation de fait, l'accès aux pages est verrouillé. Maintenant, laisse envisager la navigation. L'ASP.NET navigation cadre des honneurs de l'autorisation, mais seulement si vous configurez le filtrage de la sécurité sur le fournisseur, ce qui n'est pas configuré par défaut. Cela signifie que vous devez ajouter le site de la carte de configuration web.config:

<siteMap enabled="true" defaultProvider="AspXmlSiteMapProvider">
  <providers>
    <clear />
    <add name="AspXmlSiteMapProvider" securityTrimmingEnabled="true"
     type="System.Web.XmlSiteMapProvider, System.Web, Version=2.0.3600.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a"
     siteMapFile="web.sitemap"/>
  </providers>
</siteMap>

La plupart de ceci est configuré au niveau de la machine lors de l'ASP.NET est installé, mais, aussi et surtout la securityTrimmingEnabled valeur est à false par défaut. Ce qui précède n'est clairement la configuration existante et ajouter une nouvelle entrée à l'attribut défini sur true. À ce stade, l'infrastructure de navigation maintenant l'honneur les règles d'autorisation, de sorte que les éléments de menu n'apparaît pas si l'utilisateur ne dispose pas d'autorisation pour cet article; il n'a pas d'importance si vous utilisez un Menu ou d'un TreeView pour afficher les éléments de menu, l'élément crucial est l'aide de l'SiteMapDataSource (ou le plan du site de l'API si vous êtes en train de construire le menu manuellement). Si vous avez un site personnalisé fournisseur de cartes, comme une base de données gérée par (comme celui-ci sur le site MSDN), alors cela pourrait avoir à faire son propre contrôle de sécurité, mais cela dépend à qui de la classe de base dont vous héritez. C'est une autre histoire pour un autre poste si.

Donc, si vous n'avez pas besoin de modifier le plan du site, les éléments eux-mêmes, ce qui est le rôle de l'attribut? Eh bien c'est l'inverse vous attendent probablement, par l'ouverture de la visibilité du nœud, montrant le nœud si l'utilisateur est dans la rôle, même s'ils n'ont pas l'autorisation d'accéder à la page elle-même (parce que la règle d'autorisation de restreindre l'accès). Pourquoi voudriez-vous faire cela? Eh bien, vous devez comprendre comment l'ajustement de la sécurité des œuvres. Au moment de décider si un utilisateur peut voir un nœud, la demande d'autorisation et le dossier physique autorisations sont vérifiées; si échec alors le nœud est réputé inaccessible. Il y a deux très ordinaires fois lors de fichier physique vérifications échoue:

1. L'URL n'est pas local. Si le fichier n'existe pas localement alors qu'aucune vérification ne peut avoir lieu.
2. Il n'y a pas une URL. Le nœud peut être juste un nœud de conteneur, avec enfant des pages, mais pas la page elle-même.

Dans ces deux cas, le fichier physique vérifications échoue si le nœud ne seront pas affichés. Par conséquent, vous pouvez avoir besoin d'ouvrir la visibilité du nœud. Par exemple, considérez les points suivants:

<siteMapNode title="Admin" roles="Admin">
    <siteMapNode url="~/Admin/membership_CreateMember.aspx" title="Create User" />
    <siteMapNode url="~/Admin/membership_GetUsers.aspx" title="View Users" />
    <siteMapNode url="~/Admin/roleManager_CreateRole.aspx" title="Create Role" />
    <siteMapNode url="~/Admin/roleManager_AddUserToRole.aspx" title="Add User to Role" />
</siteMapNode>

Ici le nœud administration ne dispose pas d'une page physique, c'est purement pour permettre à l'organisation de l'admin des objets dans leur propre sous-menu. Sans les rôles supplémentaires de l'attribut du nœud et les enfants n'apparaissent pas, mais les rôles=”Admin”, le nœud doit également être démontré que les utilisateurs dans le rôle Admin, même si l'échec de la vérification. Nous n'avons pas besoin de l'attribut sur les nœuds enfants parce qu'ils ont des pages physiques, de sorte que les vérifications des fichiers de réussira.

Donc c'est assez simple si vous vous rappelez les règles:

• Configurer les restrictions de sécurité sur les pages avec l'autorisation
  web.config.
• Redéfinir la carte du site du fournisseur, l'activation de la sécurité
  le découpage.
• Ajouter les rôles de l'attribut à la carte du site les nœuds d'élargir le
  la visibilité.