atrybut Autoryzuj vs węzła zezwolenia w web.config

Question

wiem, że mogę ograniczyć dostęp do 3 aplikacji ASP.NET MVC za pomocą znacznika autoryzacji w web.config

 
    <authentication mode="Windows"></authentication> 
    <roleManager enabled="true" defaultProvider="AspNetWindowsTokenRoleProvider" /> 
    <authorization> 
     <allow roles="MyDomain\MyGroup" /> 
     <deny users="*" /> 
     <deny users="?" /> 
    </authorization> 

lub zdobienia klasę bazową kontroler ze związkiem Atrybut [Autoryzuj()] (lub nawet z niestandardowym atrybutem autoryzacji)

[AdminOnly] 
public class BaseController : Controller{} 

Pytanie brzmi: czy są to rozwiązania alternatywne i równoważne? Czy zawsze powinienem stosować jedno podejście, a nie drugie? Których elementów należy pamiętać?

Answer 1

wiem, że mogę ograniczyć dostęp do 3 aplikacji ASP.NET MVC za pomocą znacznika autoryzacji w web.config

Nie, nie używaj tego w ASP.NET MVC.

Pytanie brzmi: czy są to rozwiązania alternatywne i równoważne?

Nie, nie są alternatywne. Nie powinieneś używać znacznika <authorization> w web.config w aplikacji ASP.NET MVC, ponieważ jest on oparty na ścieżkach, podczas gdy MVC działa z akcjami i trasami kontrolera. Prawidłowy sposób autoryzacji w środowisku ASP.NET MVC jest przy użyciu atrybutu [Authorize].