关于控制文件下载的问题

Question

http://localhost/dftr/Email/Attachment/cl/test.rar
看上面的地址

我在cl（cl是用户名）文件夹下写了web.config，内容如下

<?xml version="1.0" encoding="utf-8"?>
<configuration>
  <system.web>
    <authorization>
      <deny users="?"/>
      <allow users="cl"/>
      <deny users="*"/>
    </authorization>
  </system.web>
</configuration>

也就是说只允许cl用户才可以下载这个test.rar文件
OK，我用VS2008编译调试（本地文件系统）,一切正常，当用户没有登录，或不是cl登录的时候，程序会自动跳转到login.aspx页面去。

但是，当我把网站架设到IIS6.0上的时候，就不管用了，只要用户在地址栏里输入一开始的地址，不管是否登录都能下载了。
请问这是为什么啊？如何做呢？请高手们不要说隐藏地址，使用session之类的话，因为由于某些原因这个地址是无法隐藏的。

Answer 1

在iis6下需要自己写Handler处理这个目录下的rar文件，否则会直接当成静态文件处理；其实Handler很简单，就是先调用forms验证权限部分，验证权限，然后使用Response.WriteFile(fileName)

Answer 2

使用的不是Forms验证？