.net提供了3种用户认证的方式，分别是Windows,Forms，Passport。这几种形式的定义可以在网站根目录下Web.config中的authentication节点中看见。我们常用的是forms形式。forms验证就是表单认证，提供了以身份id和密码的形式进行验证和授权管理的功能。

它运行的一个流程：

配置web.config

配置方法如下，没有验证的用户根据配置自动跳转到loginUrl里面的页面去登陆。

		<authentication mode="Forms">
			<forms loginUrl="~/Login.aspx" defaultUrl="~/Default.aspx"/>
		</authentication>

配置授权设置

同样是在web.config中的<system.web>下增加如下节点，“？”的意思指匿名用户，而“*”则表示所有用户。下面这个意思就是说根目录下的所有页面拒绝被匿名用户访问。当然你也可以在users中填写指定的用户ID，不过那样并不常用。还有deny，allow的顺序是先写allow完了再deny，不然就会出现问题。这个大家要记住。

		<authorization>
			<deny users="?"/>
		</authorization>

关键点

现在问题是当我们要控制访问的文件是静态文件，比如图片、html页面时，在Visual Studio自带的Devolopment Server使用一点问题也没有。但是在发布到IIS上时就会出现问题。web.config中配制的授权对静态内容不起作用，明明这个test.html页面被限制匿名访问了，但还是能不登录就看到。分析其原因是因为这些静态内容IIS根本就没有转交给aspnet_isapi进行处理，所以配置的授权对它们根本不起作用。

解决办法

IIS7有两种运行模式：经典模式和集成模式。两种模式下的设置是不一样的。

1、先来看集成模式：此模式下需修改两个模块（UrlAuthorization、FormsAuthentication）的默认配制，取消选择“仅针对向ASP.NET应用程序或托管处理程序发出的请求调用 ”