Question

如果我在ASP.NET Web应用程序的web.config中添加这样的内容：

   <authorization>
       <allow roles="MyUsers" />
       <deny users="*" />
   </authorization>

然后有一个位于SpecialGroup内的ActiveDirectory组MyUsers，是否允许SpecialGroup的成员访问我的应用程序？

Answer 1

是的，它会的。登录时，会构建一个安全令牌，其中包含您所属的所有组的详细信息，并包含所有嵌套组。该令牌是用于确定访问权限的标记。这就是您在添加到群组时必须注销的原因。

但是，为了确定，我在我的网站上对其进行了测试，并按照描述进行了操作。

¹实际上，它可能在很多组中，它们不会全部适合令牌（其大小有限），在这种情况下，您的令牌包含第一个'n'组（这取决于顺序）由域控制器返回，所以你可以看到一些奇怪的行为。）