【ASP】IIS匿名認証によるファイルアクセスの制御について

いつも大変お世話になっております。
現在、ASPからMDBに接続して利用者情報が登録されたユーザーのみファイル閲覧が可能な
簡易ファイル閲覧サイト（以下、閲覧サイト）を構築しております。
WEBサーバはWindows 2008 R2/IIS7.5を利用し、「匿名ユーザー」を有効にしています。

【IIS公開フォルダの構成】
[AAAA]（公開ディレクトリ）
┗BBBB.MDB（利用者情報等を格納。）
┗LOGIN.ASP（MDBと連携してログイン認証。）
┗MENU.ASP（LOGIN.ASPで認証後の遷移先。DOC内のpdfのリンク集。）
┗[DOC]
┗0001.pdf（複数ページ有り）
┗0002.pdf（複数ページ有り）
┗0003.pdf（複数ページ有り）
※[]で囲むものはディレクトリ

閲覧を行う端末はiPad（iOS 9.2.1/Safari 601.1）を想定しています。
上記環境で閲覧サイトを利用した場合、履歴に残ったURLにアクセスすることで
LOGIN.ASPを通らずに[DOC]内のファイルが閲覧可能になってしまいます。

http://[サーバアドレス]/AAAA/DOC/0001.pdf

上記問題を解決するために、[DOC]内のpdfをiFrameタグ・OBJECTタグ・EMBEDタグを利用して
HTML内にpdfを埋め込みASP側で制御できないか試しましたがSafariが上記タグに対応しておらず、
正しくpdfが表示できないため解決できませんでした。

行動規範の内容に同意します

回答2件

ベストアンサー

現在の構成だと pdf ファイルを開くときに認証がないので、pdf ファイルを直接リンクで開くのではなく、表示するための view.asp ファイルを作成して、view.asp?file=0001 のように呼び出して、表示する必要があると思います。

vew.asp 処理の一例

1.認証されているか確認する。

2.httpヘッダを出力する。
Content-Type: application/pdf

3.指定されたファイル名の pdf ファイルをバイナリモードで、読み込み、出力する。

投稿2016/03/07 23:22

CHERRY

総合スコア25232

IIS管理コンソール（インターネットインフォメーションサービスマネージャ）が使える状況でしたら、そこから「匿名ユーザー」を拒否する設定を行うことができます。
マイクロソフトのこちらの記事に手順が記載されています。

管理コーンソールを使えない場合でも、IIS公開フォルダに web.config（構成ファイル）を下記の内容で作成すれば、同じ効果を得ることができます。

XML
1<?xml version="1.0" encoding="UTF-8"?>
2<configuration>
3    <system.webServer>
4        <security>
5            <authorization>
6                <add accessType="Deny" users="?" />
7            </authorization>
8        </security>
9    </system.webServer>
10</configuration>