当我将 ASP.NET HTTP-StatusCode 硬编码为 401 时，我总是跳到登录页面？

Question

我有一个 API 设置。当用户提供无效/缺失的 API 密钥时，我尝试将 Response.StatusCode 设置为 401，但某些内容不断将我跳到登录页面。这是一个 API...所以我不想要那个。我希望向他们发送 json 错误消息，代码为 401。

此示例 api 的 url 为： /api/search/foo?apikey=12345&bar=hi+stack+overflow

我有什么做错了吗？

这是一些示例代码：-

// Do we have an Api Key that is legit?
if (!CheckAPIKey(context))
{
    json = JsonConvert.ExportToString("Invalid API key or no API key was provided.");
    context.Response.StatusCode = 401; // Not authorised.
}
else
{
    ... get json data ...
}

context.Response.Write(json);

另外，我的 web.config 中有以下内容，如果这有帮助......

<authentication mode="Forms">
    <forms loginUrl="~/Pages/Login.aspx" protection="Validation" timeout="1000000000" requireSSL="false" slidingExpiration="true" defaultUrl="Default.aspx">
    </forms>
</authentication>

有什么想法吗？

Answer 1

尝试在Globals.asax的Application_EndRequest中处理401。
您已设置表单身份验证模式，因此它正在执行其应该执行的操作，即重定向到 401 状态代码上的 Login.aspx 页面。

您的代码类似于：

HttpContext context = HttpContext.Current;
// Do we have an Api Key that is legit?
if (!CheckAPIKey(context))
{
    context.Response.StatusCode = 401; // Not authorised.
}
else
{
    ... get json data ...
}
context.Response.Write(json);

在 Application_EndRequest 中，类似于：

protected void Application_EndRequest(object sender, EventArgs e)
{
    HttpContext context = HttpContext.Current;
    if (Response.StatusCode == 401)
    {
        Response.ClearContent();
        json = JsonConvert.ExportToString("Invalid API key or no API key was provided.");
        context.Response.Write(json);
    }
}

Answer 2

因为 ASP.NET 正在处理“401 未授权”状态并将用户弹回登录页面 - 这就是它处理来自服务器的 401 消息的方式。

您可以尝试将其设置为“403 Forbidden”，尽管我认为 ASP.NET 也倾向于将它们发送到登录处理程序（这有点痛苦），或者只是简单的“400 Bad Request”

Answer 3

此行为取决于您正在使用的 System.Web.Security.FormsAuthenticationModule （如果我没记错的话，默认情况下处于活动状态）。它不仅监视 AuthenticateRequest 事件，还监视 EndRequest 事件以查找 HTTP 代码 401。
这是其他模块（例如 System.Web.Security.UrlAuthorizationModule ）发出其“评估”信号的方式。

如果您的 url 是 API，也许您可​​以使用

<location />

web.config 中的元素并微调配置。
HTH

编辑：更多...

我不确定我的建议会对您有帮助:-) 也许 Zhaph - Ben Duguid的想法更好。

无论如何...

这是位置元素的参考。简而言之，您可以为特定路径决定一组不同的配置。还有另一种不完全等效的方法：利用 .配置文件。

我假设您的 API 是更大的 Web 应用程序的一部分...

在您的情况下，您应该评估对于 URL /api/search/foo （在您的示例中）是否需要不同的行为。如果您需要不同的，请参阅“位置”参考，并尝试弄清楚是否可以关闭某些功能。

如果您的应用程序“只是”API，那么您可以删除所有不需要的模块（特别是负责重定向的 FormsAuthenticationModule）。