IIS7: Как заблокировать доступ с помощью файла web.config?

Я знаю, что IIS7 позволяет мне иметь конфигурацию для каждого каталога с файлом web.config xml. У меня есть каталог с некоторыми файлами конфигурации, которые не хотят быть доступными через Интернет. Хорошим решением будет локальный файл web.config, запрещающий доступ к нему для чтения.

Каким должно быть содержимое файла web.config, чтобы запретить веб-доступ к файлам?

Изменить: я пытаюсь поместить файл web.config с этим содержимым в файл:

<?xml version="1.0" encoding="utf-8" ?>
<configuration>
            <system.web>
                    <authorization>
                            <deny users="*" /> <!-- Denies all users -->
                    </authorization>
            </system.web>
</configuration>

Но я все еще могу получить прямой доступ к файлу внутри каталога. Что с этим не так? Как мне отладить, что происходит?

Вы используете system.web. В IIS7 вы должны использовать system.webServer. Это заблокирует все типы файлов, а не только файлы ASP.NET. Например, вы можете защитить паролем jpg, gif, txt и все типы файлов.

Это будет выглядеть примерно так:

  <system.webServer>
      <security>
          <authorization>
              <remove users="*" roles="" verbs="" />
              <add accessType="Allow" roles="Administrators" />
          </authorization>
      </security>
  </system.webServer>

И если вы хотите установить его только для 1 файла:

 <location path="dontlook.jpg">
     <system.webServer>
         <security>
             <authorization>
                 <remove users="*" roles="" verbs="" />
                 <add accessType="Allow" roles="Administrators" />
             </authorization>
         </security>
     </system.webServer>
 </location>

Я думаю, что это может решить вашу проблему.
поместите этот файл web.config в каталог, содержащий целевой каталог:

<configuration>
 <system.webServer>
  <security>
   <requestFiltering>
    <hiddenSegments>
     <add segment="target directory name"/>
    </hiddenSegments>
   </requestFiltering>
  </security>
 </system.webServer>
</configuration>

Вы можете использовать узлы Location на Web.config. Вот подробное объяснение MSDN ; в двух словах:

<location path="Subdirectory">
    <system.web>
        <authorization>
            <deny users="*"/> <!-- Denies all users -->
        </authorization>
    </system.web>
</location>
<location path="Public_Directory">
    <system.web>
        <authorization>
            <allow users="*"/> <!-- Allows all users -->
        </authorization>
    </system.web>
</location>

Вы также можете использовать? Подстановочный знак для указания того, что вы должны (разрешить / запретить) анонимных пользователей

• * означает каждого вошедшего в систему пользователя.
• ? означает анонимных пользователей.

Вы должны использовать ?.

<?xml version="1.0" encoding="utf-8" ?>
<configuration>
    <system.web>
        <authorization>
            <deny users="?" /> 
        </authorization>
    </system.web>
</configuration>