Asp.net 试图阻止对文件的访问

好的，我有一个asp.net应用程序，在这个应用程序中，我有一个包含excel文件的文件夹。这些excel文件包含受保护的信息，不应公开查看。我正试图使它，使有人不能在超链接中键入的文件之一，并查看数据。我有一个web.config文件内的目录，我关心的。上面写着

<?xml version="1.0" encoding="utf-8"?>
<configuration>
  <system.web>
    <authorization>
      <deny users="*"/>
    </authorization>
  </system.web>

</configuration>

但它不起作用，文件仍然可以访问。我将如何做到这一点

我也没有在我的应用程序中使用ASP.NET成员角色，我只想在某人通过身份验证后允许访问这些文件。我将如何允许他们访问

---

我在IIS8上托管了这篇文章。

看来我应该再研究一段时间。添加：

<system.webServer>
    <modules runAllManagedModulesForAllRequests="true"/>
  </system.webServer>

到我的应用程序的主Web.Config似乎已经做到了这一点