Proteggere cartella file

[supermac]

Ok comincio a capire:

Più che accesso ai file, sembra una gestione documentale, anche se minimale: i file vanno inseriti sotto una cartella privata, affinché non siano accessibili proprio a nessuno di nessuno, e vanno caricati e "serviti" dalla pagina ASP.NET che interfacciandosi al framework gestisce tutta la fase di autenticazione con logiche custom.

Lato utente io devo mostrare un elenco dei files disponibili e devo poterli scaricare.
La cartella di cui parli deve essere una cartella del sito o no?
Per i problemi visti sopra mi verrebbe da dire che NON dev'essere una cartella del sito altrimenti non c'è modo di impedire il download diretto dei files ivi contenuti, ma in questo modo mi si presenta il problema di come far si che la pagina ponte possa accedervi per listare e permettere il download dei files.
In altri termini come va configurata una cartella del webserver, esterna a un sito, in modo che IIS attraverso la mia pagina ponte io possa accedere al suo contenuto evitando che IIS dia libero accesso ai files della stessa agli utenti del mio sito?

PS con loggato intendo che abbia fatto login, si sia autenticato e che quindi ne abbia definito uno user e un role
System.Web.HttpContext.Current.User = New System.Security.Principal.GenericPrincipal(System. Web.HttpContext.Current.User.Identity, "cliente")

[supermac]

.
(duplicai pure io)

[supermac]

Nel frattempo:
quando vuoi imparare e chiedi consigli a mamma Microsoft (https://learn.microsoft.com/en-us/ar...and-iis-part-2)

"Forms authentication protects only ASP.NET files. It guards ASPX files, ASMX files, and other file types registered to ASP.NET, but it doesn't protect files that don't belong to ASP.NET—for example, files with HTM or HTML extensions.
.....
One possible solution is to assign the file name extension ASPX to HTML files and other non-ASP.NET files that you want to protect with forms authentication. You'll incur additional overhead when accessing the files, but at least you won't leave them alone and unprotected."

[alka]

La cartella di cui parli deve essere una cartella del sito o no?

No, non è un obbligo: da una qualsiasi pagina ASP.NET, tu puoi caricare file fisicamente da qualsiasi locazione del server, quindi se il server è tuo, puoi mettere anche cartelle e file su NAS, mentre se sei in hosting devi metterli in una cartella per la quale non è consentito l'accesso diretto via HTTP.

Per i problemi visti sopra mi verrebbe da dire che NON dev'essere una cartella del sito altrimenti non c'è modo di impedire il download diretto dei files ivi contenuti, ma in questo modo mi si presenta il problema di come far si che la pagina ponte possa accedervi per listare e permettere il download dei files.

Il punto è che l'accesso va bloccato a chi accede direttamente al file dall'esterno, ma il sito gira in un'applicazione del server e può accedere a qualsiasi percorso raggiungibile o del quale ha diritti di lettura (o scrittura, se deve salvare).

In altri termini come va configurata una cartella del webserver, esterna a un sito, in modo che IIS attraverso la mia pagina ponte io possa accedere al suo contenuto evitando che IIS dia libero accesso ai files della stessa agli utenti del mio sito?

Puoi metterla ovunque sul server: l'unica restrizione è che non sia una cartella del sito alla quale hai concesso la possibilità di accedere direttamente via HTTP.

Ciao!

[supermac]

Ok grazie per le dritte credo di esserci riuscito:
ho creato una cartella CLIENTI fuori dalla root del sito e ho concesso i diritti di lettura all'utente IUSR (che è l'utente di IIS che maneggia le pagine del sito).
La cartella e i files contenuti NON sono accessibili da URL (almeno io non penso sia possibile farlo...) MA la mia pagina-ponte riesce via filesystem a raggiungere i files contenuti, a elencarmeli e anche a rendermeli disponibili per il download previi tutti i controlli e le logiche di verifica che voglio applicare.

[alka]

Ok grazie per le dritte credo di esserci riuscito [...]

Great work!