Question

asp.net mvc中要允许部分视图不用登陆验证，怎么设置？

我在web.config中设置类似
<authentication mode="Forms">
<forms name=".ASPXAUTH" loginUrl="~/home/login" protection="All" path="/" timeout="20"/>
</authentication>
<authorization>
<deny users="?"></deny>
</authorization>

以后所有的视图都要登陆才能访问了，要允许部分视图不用登陆就可以访问，该怎么设置。
要允许部分控制器（该控制器不返回视图，只处理数据）不用登陆就可以访问，怎么设置？？

Answer 1

<authorization>
<deny users="?"></deny>
</authorization>
这个设置代表 拒绝匿名用户访问就是必须登陆才能访问
你可以通过设置session来控制登陆用户的访问 在需要不登陆就访问的页面不做session判断就行
刚看了看authentication forms里面有一条（Forms Authentication可能会在验证后将用户凭证放在Cookie中，name属性决定了该Cookie的名字。通过FormsAuthentication.FormsCookieName属性可以得到该配置值） FormsAuthentication.RedirectFromLoginPage(userName, rememberMe)

这个是用来设置安全COOKie并回到你在登录操作前请求的那个页面

你既然知道这个还玩mvc 应该不是新手这里面会有关于cookie的安全验证 用cookie验证是否登陆页可以

Answer 2

可以设置登录白名单，如果是在白名单中的用户登录，就不需要验证登录态，直接查看网页。
首先，要准备一份白名单的配置，使用XML作为配置形式，如下：
<?xml version="1.0" encoding="utf-8" ?>
<config>
<tag name="*">
<attr name="style">^((font|color)\s*:\s*[^;]+;\s*)*$</attr>
</tag>
<tag name="a">
<attr name="href">^[a-zA-Z]+://.+$</attr>
<attr name="title">.+</attr>
</tag>
...
</config>

根元素下的每个tag元素表示一个合法的HTML元素，其中星号表示对所有元素的统一设置，例如上面的配置便开放了所有元素的style属性中的font和color两个设置，以及a元素中的href和title属性，其中href还必须是“{scheme}://xxx”的形式，这样就避免了“javascript:alert(1)”这样的XSS问题。
其次写filter进行过滤：
public class FilterConfig : Dictionary<string, TagConfig>
{
public FilterConfig()
: base(StringComparer.OrdinalIgnoreCase)
{ }

public FilterConfig(XElement config)
{
var wildcardElement = config
.Elements("tag")
.SingleOrDefault(e => e.Attribute("name").Value == "*");

var wildcardConfig = wildcardElement == null ? null :
new TagConfig(wildcardElement);

foreach (var ele in config
.Elements("tag")
.Where(e => e.Attribute("name").Value != "*"))
{
var name = ele.Attribute("name").Value;
var tagConfig = new TagConfig(ele);

foreach (var pair in wildcardConfig)
{
if (!tagConfig.ContainsKey(pair.Key))
{
tagConfig.Add(pair.Key, pair.Value);
}
}

this.Add(name, tagConfig);
}
}
}