WIF和IIS文件安全

我想我遗漏了一些明显的东西，但配置了WIF后，我可以直接访问我网站上的文件。例如，无需点击我的STS获取凭据即可访问

在web.config中，我有典型的

<authorization>
   <deny users="?" />
</authorization>

但是，我没有被要求进行身份验证

请告诉我，我只是错过了一些愚蠢的事情

谢谢

您需要将“runAllManagedModuleForAllRequests=true”添加到system.webServer中的模块部分

否则，FAM/SAM将无法启动静态文件