ASP.NET 設定檔縱橫談（二）： 元素與 URL 授權

<location> 元素可在根目錄 web.config 集中管理 URL 授權，避免分散在各子目錄的設定檔中。

基本用法

<location path="SomePath">
  <system.web>
    <authorization>
      <allow roles="Secured, Administrators" />
      <deny users="*" />
    </authorization>
  </system.web>
</location>

path 支援檔案（default.aspx）、目錄（subfolder）、巢狀路徑（subfolder/default.aspx）、甚至 IIS 虛擬站點名稱。集中管理降低遺漏風險。

allowOverride 防範覆寫

在 machine.config 設定：

<location allowOverride="false">
  <system.web>
    <trust level="Medium" />
  </system.web>
</location>

下層 web.config 嘗試重新定義將拋出錯誤，保護關鍵安全設定不被覆寫。