<location path="Content">
    <system.web>
        <authorization>
            <deny users="?" />
        </authorization>
    </system.web>
</location>

另一种可能性是将这些文件放在无人可以访问的文件夹中(例如App_Data文件夹),然后有一个控制器操作,它将为那些将使用[Authorize]属性修饰的文件提供服务.