保护纯HTML站点的技术

我的任务是为某人保护一个纯HTML网站，我不完全确定如何解决这个问题。以下是限制条件：

所有登录必须链接到我们当前的Active Directory域

（可选，但需要）解决方案必须将来自我们内部网的请求列入白名单——也就是说，如果有人试图从校园访问该网站，他们将立即被允许进入

（可选，但需要）解决方案必须将来自我们中心网站的请求列入白名单，无论它们是否在校园内。所述中心站点由引用我们的Active Directory域的登录名进行保护，因此这本质上是一个直通请求

我们的绝大多数用户群都是非技术性的，因此，只有很少的登录请求和较小的占地面积才是必要的

通常情况下，我对此没有问题，但这是一个纯HTML网站，所以我的选择有点有限。我目前的想法：

使用IIS6的目录安全性可以简单地强制Active Directory身份验证。我不能使用IP许可/拒绝，因为该检查在生命周期中排在任何其他检查之前，并且很快会拒绝拒绝列表中的任何内容。我不能改变这种行为

编写一个驻留在我们中心网站上的aspx文件，该文件预加载用户的集成Windows安全凭据，并自动将其验证到HTML网站。然而，就IIS而言，这是两个不同的网站，这听上去充其量是一种不好的做法，充其量是模仿跨网站的入侵尝试

---

我得承认我被困住了。以前有人处理过这样的问题吗？

如果纯html站点在IIS上运行，那么将其转换为.Net web应用程序只是为了将其资源包装在自定义条件表单中，使用更丰富的ASP.Net安全包装器登录似乎是一种很自然的选择。您可以使用now应用程序提供纯HTML文件

---

这对我所看到的内容维护人员没有任何不利影响。

假设您使用的是Windows2003/IIS6，并且您的web服务器是您的域的一部分，您可以执行以下操作：

将网站配置为使用集成和/或基本身份验证对Active Directory进行身份验证。同时禁用匿名访问。您可以通过在IIS管理器中单击网站“目录安全性”选项卡中的“编辑”来找到这些设置。如果用户使用的浏览器不是Internet Explorer，则只需启用Basic。如果你使用基本密码，你也应该使用SSL来保护你的用户名和密码。访问级别由对网站根目录/子目录上的文件/目录设置的权限决定。这些目录中的任何文件将仅提供给经过身份验证的用户

要允许域中的用户在没有提示的情况下登录，您需要将Internet Explorer配置为自动登录到intranet中的站点。您还需要在IIS中为您的网站启用集成身份验证

我不确定第3项中的要求是否能得到满足。如果您的中心网站使用模拟，它可能会将您的Windows凭据传递到域中的其他服务器，但我怀疑不会

参考资料：

“如何在Windows Server 2003中配置IIS网站身份验证”

“Internet Explorer可能会提示您输入密码”

“如何在Internet Explorer中使用安全区域”

---

我想知道这是否可行，但我的一位同事建议我必须将网站中的每个html文件都转换为aspx，以防止深度链接和其他类似的事情。这是不准确的，还是有更简单的方法？