似乎您在组成authorization元素时顺序错误，必须首先声明allow部分，以允许某些用户担任某些角色，然后才能拒绝其他所有内容。
因此，下面的结构是错误的，因为在允许定义的用户之前拒绝所有已解析的用户：

<location path="AdminOnly">
    <system.web>
        <authorization>
        <deny users="*" />
        <allow users="domain\user1, domain\user2, domain\user3" />
        <allow roles="domain\role1, domain\role2" />
        </authorization>
    </system.web>
</location>

正确的顺序应该是这样的：

<location path="AdminOnly">
    <system.web>
        <authorization>
        <allow roles="role1, role2" />
        <allow users="user1, user2, user3" />
        <deny users="*" />
        </authorization>
    </system.web>
</location>

在参考资料部分，Guru Sarkar解释了问题所在：

常见错误

我看到有人抱怨说他们已经正确设置了自己的角色，也进入了他们的web.config，但他们的授权仍然不起作用。即使他们允许访问他们的角色，用户也不能访问特定的页面/文件夹。常见的原因是将<deny../>放在<allow ../>之前。由于 * 授权是从上到下完成的 *，规则被检查，直到找到匹配。
参考：
Setting authorization rules for a particular page or folder in web.config

您可以尝试在您的特定文件夹中创建新的web.config，并将其添加到您文件夹的web.config中以限制所有用户吗

<?xml version="1.0"?>
<configuration>
    <system.web>
      <authorization>
        <deny users="*"/>
      </authorization>
    </system.web>
</configuration>

我们通过重写URL实现了这一点。

<system.webServer>
    <rewrite>
        <rules>
            <clear />
            <rule name="RestrictAccess" enabled="true" patternSyntax="ExactMatch" stopProcessing="true">
                <match url="MyFolder/MyFile.zip" />
                <action type="AbortRequest" />
            </rule>
        </rules>
    </rewrite>
</system.webServer>