11

在 ASP.NET 中，FormsAuthenticationModule 拦截任何 HTTP 401，并将 HTTP 302 重定向返回到登录页面。这对 AJAX 来说很痛苦，因为您要求 json 并以 html 格式获取登录页面，但状态代码是 HTTP 200。

在 ASP.NET Web API 中避免这种拦截的方法是什么？

在 ASP.NET MVC4 中，很容易通过显式结束连接来防止这种拦截：

public class MyMvcAuthFilter:AuthorizeAttribute
{
    protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
    {
        if (filterContext.HttpContext.Request.IsAjaxRequest() && !filterContext.IsChildAction)
        {
            filterContext.Result = new HttpStatusCodeResult(401);
            filterContext.HttpContext.Response.StatusCode = 401;
            filterContext.HttpContext.Response.SuppressContent = true;
            filterContext.HttpContext.Response.End();
        }
        else
            base.HandleUnauthorizedRequest(filterContext);
    }
}

但在 ASP.NET Web API 中，我无法显式结束连接，因此即使我使用此代码，FormsAuthenticationModule 也会拦截响应并将重定向发送到登录页面：

public class MyWebApiAuth: AuthorizeAttribute
{
    protected override void HandleUnauthorizedRequest(System.Web.Http.Controllers.HttpActionContext actionContext)
    {
        if(actionContext.Request.Headers.Any(h=>h.Key.Equals("X-Requested-With",StringComparison.OrdinalIgnoreCase)))
        {
            var xhr = actionContext.Request.Headers.Single(h => h.Key.Equals("X-Requested-With", StringComparison.OrdinalIgnoreCase)).Value.First();

            if (xhr.Equals("XMLHttpRequest", StringComparison.OrdinalIgnoreCase))
            {
                // this does not work either
                //throw new HttpResponseException(HttpStatusCode.Unauthorized);

                actionContext.Response = new System.Net.Http.HttpResponseMessage(System.Net.HttpStatusCode.Unauthorized);
                return;
            }
        }

        base.HandleUnauthorizedRequest(actionContext);
    }
}

在 ASP.NET Web API 中避免这种行为的方法是什么？我一直在看，我找不到这样做的方法。

问候。

PS：我不敢相信这是 2012 年，这个问题仍然存在。

4

3 回答 3

5

如果有人有兴趣使用 Authorize 属性处理 ASP.NET MVC 应用程序中的相同问题：

[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, Inherited = true, AllowMultiple = true)]
public class Authorize2Attribute : AuthorizeAttribute
{
    protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
    {
        if (filterContext.HttpContext.Request.IsAuthenticated)
        {
            filterContext.Result = new HttpStatusCodeResult((int) HttpStatusCode.Forbidden);
        }
        else
        {
            if (filterContext.HttpContext.Request.IsAjaxRequest())
            {
                filterContext.HttpContext.Response.SuppressFormsAuthenticationRedirect = true;
            }
            base.HandleUnauthorizedRequest(filterContext);
        }
    }
}

这样浏览器可以正确区分禁止和未经授权的请求。

于 2013-07-06T06:08:02.637 回答
4

MVC 4 RC 的发行说明暗示自 Beta 版以来此问题已得到解决——您使用的是哪个？

http://www.asp.net/whitepapers/mvc4-release-notes 由 ASP.NET Web API 处理的未经授权的请求返回 401 Unauthroized：由 ASP.NET Web API 处理的未经授权的请求现在返回一个标准的 401 Unauthorized 响应，而不是重定向用户代理到登录表单，以便 Ajax 客户端可以处理响应。

查看 MVC 的源代码，似乎通过 SuppressFormsAuthRedirectModule.cs 添加了一个功能

http://aspnetwebstack.codeplex.com/SourceControl/network/forks/BradWilson/AspNetWebStack/changeset/changes/ae1164a2e339#src%2fSystem.Web.Http.WebHost%2fHttpControllerHandler.cs。

    internal static bool GetEnabled(NameValueCollection appSettings)
    {
            // anything but "false" will return true, which is the default behavior

所以看起来这是默认启用的，RC应该在没有任何英雄主义的情况下解决你的问题......作为一个侧面，看起来你可以使用AppSettings http://d.hatena.ne.jp/shiba-禁用这个新模块严/20120430/1335787815：

<appSettings> 
    <Add Key = "webapi:EnableSuppressRedirect"  value = "false" /> 
</appSettings>

编辑（示例和说明）

我现在在GitHub 上为这种方法创建了一个示例。新的重定向抑制要求您使用两个正确的“授权”属性；控制器中的 MVC Web [System.Web.Mvc.Authorize] 和 Web API [System.Web.Http.Authorize] 在全局过滤器Link中和/或。

然而，这个例子确实引出了该方法的局限性。似乎 web.config 中的“授权”节点将始终优先于 MVC 路由，例如这样的配置将覆盖您的规则并仍然重定向到登录：

<system.web>
    <authentication mode="Forms">
    </authentication>
    <authorization>
        <deny users="?"/> //will deny anonymous users to all routes including WebApi
    </authorization>
</system.web>

遗憾的是，使用 Location 元素为某些 url 路由打开它似乎不起作用，WebApi 调用将继续被拦截并重定向到登录。

解决方案

对于 MVC 应用程序，我只是建议从 Web.Config 中删除配置并在代码中坚持使用全局过滤器和属性。

如果您必须在 Web.Config 中为 MVC 使用授权节点或拥有混合 ASP.NET 和 WebApi 应用程序，那么@PilotBob - 在下面的评论中 - 发现子文件夹和多个 Web.Config 可以用来做你的蛋糕和吃了它。

于 2012-06-19T10:56:30.990 回答
3

通过设置以下属性，我能够绕过 web.config 中的拒绝匿名设置：

Request.RequestContext.HttpContext.SkipAuthorization = true;

在对 Global.asax.cs 中的 Application_BeginRequest 方法中的 Request 对象进行一些检查后，我会执行此操作，例如 RawURL 属性和其他标头信息，以确保请求正在访问我希望允许匿名访问的区域。一旦调用 API 操作，我仍然会执行身份验证/授权。

于 2013-01-24T19:56:59.480 回答