我正在尝试创建一个基于 MVC 的站点，通过 WebApi 向本地页面和外部客户端提供一些服务，因此需要 JSONP 来避免同源策略错误。问题是该站点使用的是基本身份验证，正如我从这里的其他帖子中了解到的那样，无法使用 JSONP。我尝试在 URL 中注入 user:pass，如文章How do I make a JSONP call with JQuery with Basic Authentication 中所建议的那样？，但这不起作用，服务器返回未经授权的代码。此外，我尝试在不注入的情况下拨打电话，因为我可以在浏览器中输入用户名和密码：浏览器按预期要求我提供凭据，但由于某种原因它们被拒绝，再次以未经授权的代码结束. 然而凭据是好的，我可以通过从同一个域成功运行完全相同的代码来确认。谁能告诉我我的代码有什么问题？
我的 MVC WebApi 控制器操作如下：
[BasicAuthorize(Roles = "administrator,customer,trial")]
public class TextApiController : ApiController
{
// ...
public SomeResult Get([FromUri] SomeParams p)
{
// some processing which returns a SomeResult object
//...
}
}
其中 BasicAuthorize 属性是我从http://kevin-junghans.blogspot.it/2013/02/mixing-forms-authentication-basic.html修改的类，如下所示：
[AttributeUsageAttribute(AttributeTargets.Class |
AttributeTargets.Method, Inherited = true,
AllowMultiple = true)]
public sealed class BasicAuthorizeAttribute : AuthorizeAttribute
{
static private string DecodeFrom64(string sEncodedData)
{
byte[] encodedDataAsBytes = Convert.FromBase64String(sEncodedData);
return Encoding.ASCII.GetString(encodedDataAsBytes);
}
static private bool GetUserNameAndPassword(HttpActionContext context,
out string sUserName,
out string sPassword,
out bool bCookieAuthorization)
{
bCookieAuthorization = false;
bool bSuccess = false;
sUserName = sPassword = "";
IEnumerable<string> headerVals;
if (context.Request.Headers.TryGetValues("Authorization", out headerVals))
{
try
{
string sAuthHeader = headerVals.First();
string[] authHeaderTokens = sAuthHeader.Split();
if (authHeaderTokens[0].Contains("Basic"))
{
string sDecoded = DecodeFrom64(authHeaderTokens[1]);
string[] aPairMembers = sDecoded.Split(new[] { ':' });
sUserName = aPairMembers[0];
sPassword = aPairMembers[1];
}
else
{
if (authHeaderTokens.Length > 1)
sUserName = DecodeFrom64(authHeaderTokens[1]);
bCookieAuthorization = true;
}
bSuccess = true;
}
catch
{
bSuccess = false;
}
}
return bSuccess;
}
static private bool Authenticate(HttpActionContext actionContext,
out string sUserName)
{
bool bIsAuthenticated = false;
string sPassword;
bool bCookieAuthorization;
if (GetUserNameAndPassword(actionContext,
out sUserName, out sPassword, out bCookieAuthorization))
{
// if the header tells us we're using Basic auth then log the user in
if (!bCookieAuthorization)
{
if (WebSecurity.Login(sUserName, sPassword, true))
bIsAuthenticated = true;
else
WebSecurity.Logout();
}
// else get authentication from web security
else
{
if (WebSecurity.IsAuthenticated) bIsAuthenticated = true;
sUserName = WebSecurity.CurrentUserName;
}
}
else actionContext.Response =
new HttpResponseMessage(HttpStatusCode.BadRequest);
return bIsAuthenticated;
}
private bool IsAuthorized(string sUserName)
{
SimpleRoleProvider roles =
(SimpleRoleProvider)System.Web.Security.Roles.Provider;
string[] aRoles = Roles.Split(new[] {','});
return (aRoles.Any(sRole => roles.IsUserInRole(sUserName, sRole)));
}
public override void OnAuthorization(HttpActionContext actionContext)
{
string sUserName;
if (Authenticate(actionContext, out sUserName))
{
if (!IsAuthorized(sUserName))
actionContext.Response = new HttpResponseMessage(HttpStatusCode.Forbidden);
}
else
{
actionContext.Response = new HttpResponseMessage(HttpStatusCode.Unauthorized);
}
}
}
我的客户端代码是一个带有一些 Javascript（使用 jQuery）的简单 HTML 页面，例如：
...
<form>
<fieldset>
<legend></legend>
<ol>
<li>
input text
<input type="text" id="input"/>
</li>
<li>
username
<input type="text" id="user"/>
</li>
<li>
password
<input type="password" id="password"/>
</li>
<li><a href="#" id="apip">API: JSONP</a></li>
</ol>
</fieldset>
</form>
<div id="result"></div>
<script>
function getAuthorizationHeader(username, password) {
"use strict";
var authType;
if (password == "") {
authType = "Cookie " + $.base64.encode(username);
}
else {
var up = $.base64.encode(username + ":" + password);
authType = "Basic " + up;
};
return authType;
};
function ajaxSuccessHandler(data) {
"use strict";
$("#result").text(data);
};
function ajaxErrHandler(jqXHR, textStatus, errorThrown) {
"use strict";
$("#result").text(errorThrown + " : " + textStatus);
}
$(function () {
"use strict";
$("#apip").click(function () {
"use strict";
var text = $("#input").val();
$.ajax({
url: "https://somesiteurl.com/api/wordapi?Text=" + encodeURIComponent(text),
dataType: "jsonp",
type: "GET",
beforeSend: function (xhr) {
xhr.setRequestHeader("Authorization", getAuthorizationHeader($("#user").val(), $("#password").val()));
},
success: ajaxSuccessHandler,
error: ajaxErrHandler
});
});
});
</script>
CORS
抱歉回复晚了...我正在按照建议尝试使用 CORS，但我肯定会遗漏一些明显的东西，因为我的客户发送的标头不包括 Origin。这是我所做的，通过使用来自http://brockallen.com/2012/06/28/cors-support-in-webapi-mvc-and-iis-with-thinktecture-identitymodel/的库：
我创建了一个新的 MVC4 互联网应用程序来测试这个场景，并使用 NuGet 添加 Thinktecture.IdentityModel。
在 App_Start 我创建了这个 CorsConfig 类：
static public class CorsConfig
{
public static void RegisterCorsForWebApi(HttpConfiguration httpConfig)
{
WebApiCorsConfiguration corsConfig = new WebApiCorsConfiguration();
// this adds the CorsMessageHandler to the HttpConfiguration’s
// MessageHandlers collection
corsConfig.RegisterGlobal(httpConfig);
corsConfig
.ForResources("Products")
.ForOrigins("http://hello.net")
.AllowAll();
}
public static void RegisterCorsForMvc(MvcCorsConfiguration corsConfig)
{
corsConfig
.ForResources("Products.GetProducts")
.ForOrigins("http://hello.net")
.AllowAll();
}
}
在 Global.asax.cs 我调用这个类的两个方法。
在 web.config 中添加：
我在返回一些 JSON 的 MVC 控制器中创建了一个简单的操作方法。我计划稍后用 [Authorize] 进行装饰，一旦调用正确放置在客户端，我就可以测试身份验证（和授权，添加角色）。
在一个视图中，我将我的方法称为：
var text = $("#input").val();
var json = "{'text': " + JSON.stringify(text) + "}";
$.ajax({
url: "/Home/GetSomeJson",
dataType: "json",
data: json,
type: "GET",
beforeSend: function (xhr) {
xhr.withCredentials = true;
},
crossDomain: true,
username: $("#user").val(),
password: $("#password").val(),
success: ajaxSuccessHandler,
error: ajaxErrHandler
});