在 Web.config 文件的<configuration>标记的子标记<authorization>和</authorization>之间用于设置应用程序的授权策略，容许或拒绝不同的用户或角色访问，该配置可以在计算机、站点、应用程序、子目录或页等级别上声明，必须与<authentication>节配合使用，在<authorization>和</authorization>之间可以采用通配符“？”表示匿名(未经身份验证的)用户、“*”表示任何人，基本语法格式如下。


<configuration>

  <system.web>

    <authorization>

      <allow users="*" />

      <!-- 允许所有用户 -->

      <!-- <allow  users="[逗号分隔的用户列表]"

               roles="[逗号分隔的角色列表]"/>

      <deny   users="[逗号分隔的用户列表]"

               roles="[逗号分隔的角色列表]"/>

-->

    </authorization>

  </system.web>

</configuration>


在上述<authorization>配置节中，标记“<!--   -->”表示注释，其中的内容可以根据需

要选择使用，allow表示允许访问，deny表示不允许访问。