阻止拦截ASP.NET Web API响应的FormsAuthenticationModule

前端之家收集整理的这篇文章主要介绍了阻止拦截ASP.NET Web API响应的FormsAuthenticationModule前端之家小编觉得挺不错的,现在分享给大家,也给大家做个参考。
在ASP.NET中,FormsAuthenticationModule拦截任何HTTP 401,并返回HTTP 302重定向登录页面.这对AJAX来说很痛苦,因为你要求json并以html获取登录页面,但状态代码是HTTP 200.

在ASP.NET Web API中避免这种拦截方法是什么?

在ASP.NET MVC4中,通过明确结束连接来防止此拦截非常容易:

  1. public class MyMvcAuthFilter:AuthorizeAttribute
  2. {
  3. protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
  4. {
  5. if (filterContext.HttpContext.Request.IsAjaxRequest() && !filterContext.IsChildAction)
  6. {
  7. filterContext.Result = new HttpStatusCodeResult(401);
  8. filterContext.HttpContext.Response.StatusCode = 401;
  9. filterContext.HttpContext.Response.SuppressContent = true;
  10. filterContext.HttpContext.Response.End();
  11. }
  12. else
  13. base.HandleUnauthorizedRequest(filterContext);
  14. }
  15. }

但是在ASP.NET Web API中我无法显式地结束连接,因此即使我使用此代码,FormsAuthenticationModule也会拦截响应并将重定向发送到登录页面

  1. public class MyWebApiAuth: AuthorizeAttribute
  2. {
  3. protected override void HandleUnauthorizedRequest(System.Web.Http.Controllers.HttpActionContext actionContext)
  4. {
  5. if(actionContext.Request.Headers.Any(h=>h.Key.Equals("X-Requested-With",StringComparison.OrdinalIgnoreCase)))
  6. {
  7. var xhr = actionContext.Request.Headers.Single(h => h.Key.Equals("X-Requested-With",StringComparison.OrdinalIgnoreCase)).Value.First();
  8.  
  9. if (xhr.Equals("XMLHttpRequest",StringComparison.OrdinalIgnoreCase))
  10. {
  11. // this does not work either
  12. //throw new HttpResponseException(HttpStatusCode.Unauthorized);
  13.  
  14. actionContext.Response = new System.Net.Http.HttpResponseMessage(System.Net.HttpStatusCode.Unauthorized);
  15. return;
  16. }
  17. }
  18.  
  19. base.HandleUnauthorizedRequest(actionContext);
  20. }
  21. }

在ASP.NET Web API中避免此行为的方法是什么?我一直在看,我找不到办法.

问候.

PS:我不敢相信这是2012年,这个问题仍然存在.

解决方法

MVC 4 RC的发行说明意味着自Beta以来已经解决了这个问题 – 您使用的是什么?

http://www.asp.net/whitepapers/mvc4-release-notes
ASP.NET Web API处理的未经授权的请求返回401 Unauthroized:ASP.NET Web API处理的未经授权的请求现在返回标准的401 Unauthorized响应,而不是将用户代理重定向登录表单,以便Ajax客户端可以处理响应.

查看MVC的源代码,似乎通过SuppressFormsAuthRedirectModule.cs添加了一个功能

http://aspnetwebstack.codeplex.com/SourceControl/network/forks/BradWilson/AspNetWebStack/changeset/changes/ae1164a2e339#src%2fSystem.Web.Http.WebHost%2fHttpControllerHandler.cs.

  1. internal static bool GetEnabled(NameValueCollection appSettings)
  2. {
  3. // anything but "false" will return true,which is the default behavior

所以它看起来这是默认启用的,RC应该修复你的问题,没有任何英雄……作为一个侧面点看起来你可以使用AppSettings http://d.hatena.ne.jp/shiba-yan/20120430/1335787815禁用这个新模块:

  1. <appSettings>
  2. <Add Key = "webapi:EnableSuppressRedirect" value = "false" />
  3. </appSettings>

编辑(示例和说明)

我现在已经在GitHub上为这种方法创建了一个示例.新的重定向抑制要求您使用两个正确的“授权”属性;控制器中的MVC Web [System.Web.Mvc.Authorize]和Web API [System.Web.Http.Authorize]和全局过滤器Link中的/或OR.

然而,该示例确实提出了该方法的限制.似乎web.config中的“授权”节点将始终优先于MVC路由,例如像这样的配置将覆盖您的规则并仍然重定向登录

  1. <system.web>
  2. <authentication mode="Forms">
  3. </authentication>
  4. <authorization>
  5. <deny users="?"/> //will deny anonymous users to all routes including WebApi
  6. </authorization>
  7. </system.web>

遗憾的是,使用Location元素打开一些url路由似乎不起作用,WebApi调用将继续被拦截重定向登录.

解决方

对于MVC应用程序,我只是建议从Web.Config中删除配置,并在代码中坚持使用全局过滤器和属性.

如果你必须使用Web.Config for MVC中的授权节点或者有一个混合ASP.NET和WebApi应用程序,那么@PilotBob – 在下面的评论中 – 发现子文件夹和多个Web.Config可以用来制作你的蛋糕和吃了它.

猜你在找的asp.Net相关文章