当用户不属于授权角色时，如何提供未经授权的页面？

Question

我使用 Authorize 属性，如下所示：

[Authorize (Roles="Admin, User")]
Public ActionResult Index(int id)
{
    // blah
}

当用户不属于指定角色时，我会收到错误页面（未找到资源）。所以我也添加了 HandleError 属性。

[Authorize (Roles="Admin, User"), HandleError]
Public ActionResult Index(int id)
{
    // blah
}

现在，如果用户不属于指定角色，它将进入登录页面。

当用户不满足所需角色之一时，如何让它转到未经授权页面而不是登录页面？如果发生不同的错误，我如何区分该错误和未经授权的错误并以不同的方式处理它？

Answer 1

将类似的内容添加到您的 web.config 中：

<customErrors mode="On" defaultRedirect="~/Login">
     <error statusCode="401" redirect="~/Unauthorized" />
     <error statusCode="404" redirect="~/PageNotFound" />
</customErrors>

您显然应该创建 /PageNotFound 和 /Unauthorized 路由、操作和视图。

编辑：抱歉，我显然没有彻底理解这个问题。

问题在于，当执行 AuthorizeAttribute 过滤器时，它会判定用户不符合要求（他/她可能已登录，但未处于正确的角色）。因此，它将响应状态代码设置为 401。该状态代码由 FormsAuthentication 模块拦截，然后执行重定向。

我看到两种选择：

1. 禁用defaultRedirect。

2. 创建您自己的IAuthorizationFilter。派生自 AuthorizeAttribute 并覆盖 HandleUnauthorizedRequest。在此方法中，如果用户已通过身份验证，则重定向到/Unauthorized

我也不喜欢：defaultRedirect 功能很好，而不是您想要自己实现的功能。第二种方法会导致用户看到一个视觉上正确的“您未经授权”页面，但 HTTP 状态代码不会是所需的 401。

我对 HttpModules 的了解不够，无法判断是否可以使用 aa 来规避此问题可以容忍的黑客攻击。

编辑2：
如何通过以下方式实现您自己的 IAuthorizationFilter：从 CodePlex 下载 MVC2 代码并“借用”AuthorizeAttribute 的代码。将 OnAuthorization 方法更改为类似于

    public virtual void OnAuthorization(AuthorizationContext filterContext)
    {
        if (AuthorizeCore(filterContext.HttpContext))
        { 
            HttpCachePolicyBase cachePolicy = filterContext.HttpContext.Response.Cache;
            cachePolicy.SetProxyMaxAge(new TimeSpan(0));
            cachePolicy.AddValidationCallback(CacheValidateHandler, null /* data */);
        }
        // Is user logged in?
        else if(filterContext.HttpContext.User.Identity.IsAuthenticated)
        {
            // Redirect to custom Unauthorized page
            filterContext.Result = new RedirectResult(unauthorizedUrl);
        } 
        else {
            // Handle in the usual way
            HandleUnauthorizedRequest(filterContext);
        }
    }

其中 unauthorizedUrl 是过滤器上的属性或从 Web.config 读取的属性。

您还可以继承 AuthorizeAttribute 并重写 OnAuthorization，但您最终会编写几个已经在 AuthorizeAttribute 中的私有方法。

Answer 2

您可以通过两种方式执行此操作：

1. 指定错误的 HandleError 属性，并提供应显示的视图：

   [HandleError(ExceptionType = typeof(UnAuthorizedException),
   View = "UnauthorizedError")]

您可以指定几种不同的 ExceptionTypes 和视图

2. 创建自定义 ActionFilter，检查凭据，如果用户未经授权则重定向到控制器。： http://web.archive.org/web/20090322055514/http:// /msdn.microsoft.com/en-us/library/dd381609.aspx

Answer 3

根据您的问题，也许 403 状态代码更合适（用户已被识别，但他们的帐户没有足够的特权）。 401适用于您不知道用户拥有什么权限的情况。

Answer 4

并且 HttpUnauthorizedResult （这来自于 AuthorizeAtrribute 的结果）只是将 StatusCode 设置为 401。因此，您可能可以在 IIS 中设置 401 页面，或者在 web.config 中设置自定义错误页面。当然，您还必须确保访问您的自定义错误页面不需要授权。

Answer 5

只需重写AuthorizeAttribute的HandleUnauthorizedRequest方法即可。如果调用此方法，但用户已通过身份验证，那么您可以重定向到“未授权”页面。

public class CustomAuthorizeAttribute : AuthorizeAttribute
{
    protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
    {
        if (filterContext.HttpContext.User.Identity.IsAuthenticated)
        {
            filterContext.Result = new RedirectToRouteResult(new RouteValueDictionary(new { Area = "", Controller = "Error", Action = "Unauthorized" }));
        }
        else
        {
            base.HandleUnauthorizedRequest(filterContext);
        }
    }
}