Asp.net Mvc自定义机制处理未授权请求

Question

我希望安全控制器（或操作）遵循以下行为

对于我的网站，如果用户发出正常请求重定向到登录页面（我可以轻松做到），

如果请求是 Ajax 类型 Request.IsAjaxRequest()==true，，返回状态代码 401

我如何为此创建过滤器？

Answer 1

 public class MyCustomAuthorize : AuthorizeAttribute
{
        protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
        {
            //if ajax request set status code and end Response
            if (filterContext.HttpContext.Request.IsAjaxRequest())
            {
                filterContext.HttpContext.Response.StatusCode = 401;
                filterContext.HttpContext.Response.End();
            }

            base.HandleUnauthorizedRequest(filterContext);
        }
}

创建一个像上面这样的过滤器，如果通过ajax发出请求，它将返回未经授权的请求状态代码401。

如果您使用 jQuery，您可以执行以下操作

jQuery.ajax({
statusCode: {
    401: function() {
      alert('unauthrized');
    },

  /*other options*/
});

Answer 2

除了接受的答案之外，我还需要放入这行代码以防止 FormsAuthentication 重定向到登录页面。filterContext.HttpContext.Response.SuppressFormsAuthenticationRedirect

= true;

然后我删除了
filterContext.HttpContext.Response.End();

var unauthorizedResult = new JsonResult
{
    Data = new ErrorResult() {Success = 0, Error = "Forbidden"},
            JsonRequestBehavior = JsonRequestBehavior.AllowGet
    };
    // status code
    filterContext.HttpContext.Response.StatusCode = (int) HttpStatusCode.Unauthorized;
    // return data
    filterContext.Result = unauthorizedResult;
    filterContext.HttpContext.Response.SuppressFormsAuthenticationRedirect = true;
}

Answer 3

您的问题不在于 AJAX 请求，您的问题是返回 HTTP 401 未经授权的响应，因为您使用表单身份验证。此响应代码告诉框架它应该使用 HTTP 302 响应将用户代理重定向到您的登录页面。这就是为什么很容易设置“正常”请求重定向 - 它是自动完成的。
为了回答你的问题，我遇到了类似的问题，我最终得到的解决方案是不使用表单身份验证。我实现了一个自定义授权属性，可以手动处理这两种情况。我不确定这是否是最好的方法，但它确实有效。我感兴趣的是其他人对此解决方案的看法或还有哪些其他解决方案。
幸运的是，您仍然可以使用 FormsAuthentication 类来处理 cookie，但您必须从 Web.config 文件中删除表单身份验证配置。当用户登录时，您可以使用 FormsAuthentication.SetAuthCookie 来设置 cookie（您可能已经这样做了）。其次，在授权属性中，您从请求中获取 cookie，并使用 FormsAuthentication.Decrypt 对其进行解密。如果它存在并且有效，您可以根据此 cookie 在 HttpContext 中设置用户，因为表单身份验证将不再为您执行此操作。如果没有，您要么重定向到登录页面，要么返回 401，具体取决于它是否是 AJAX 调用。

Answer 4

您可以使用 ajaxonly 来限制访问ajax操作结果

Answer 5

您可以只返回 HttpUnauthorizedResult。

注意：这可能会导致 MVC 框架将您返回到登录页面。

public ActionResult FailResult()
{
        return new HttpUnauthorizedResult();
}

Answer 6

一个简单的方法是在 SignIn 操作中进行检查

public ActionResult SignIn()
{
    if (Request.IsAjaxRequest())
    {
        // you could return a partial view that has this script instead
        return Content("<script>window.location = '" + Url.Action("SignIn", "Account") + "'</script>");
    }
   ...
   return View();