asp mvc 3 ActionFilter 用于基本身份验证

Question

我有一个使用基本身份验证的 ASP MVC3 Restful 服务。搜索堆栈溢出后，我创建了以下代码。

public class BasicAuthentication : ActionFilterAttribute
{
    public override void OnActionExecuting(ActionExecutingContext filterContext)
    {
        var req = filterContext.HttpContext.Request;
        if (String.IsNullOrEmpty(req.Headers["Authorization"]))
        {
            filterContext.Result = new HttpNotFoundResult();
        }
        else
        {
            var credentials = System.Text.ASCIIEncoding.ASCII
                        .GetString(Convert.FromBase64String(req.Headers["Authorization"].Substring(6)))
                        .Split(':');
            var user = new { Name = credentials[0], Password = credentials[1] };
            if(!(user.Name == "username" && user.Password == "passwords"))
            {
                filterContext.Result = new HttpNotFoundResult();
            }
        }
    }
}

1）ActionFilterAttribute 是执行此操作的最佳方法吗？

2）设置filterContext.Result是拒绝访问控制器方法的正确方法吗？

3）我做错了什么吗？

谢谢。

-缺口

Answer 1

1) ActionFilterAttribute 是实现此目的的最佳方法吗？
我想是的。此方法反映了内置 Authorize 属性的实现。

2) 设置 filterContext.Result 是拒绝访问控制器方法的正确方法吗？
是的。这就是它的用途。 (1)

3) 我做错了什么吗？

• 您假设 Authorization 标头的内容位于
  格式正确且编码正确。
• 您假设该请求是用于基本身份验证，而不是任何
  其他认证方案。
• 我更喜欢使用 HttpUnauthorizedResult() 发送 http
  通过 HttpNotFoundResult() 生成 401 错误，而不是 http 404 错误。

下面是我对代码的实现（我确信也有问题）。

    public override void OnActionExecuting(ActionExecutingContext filterContext)
    {
        try
        {
            if (String.IsNullOrEmpty(filterContext.HttpContext.Request.Headers["Authorization"]))
            {
                filterContext.Result = new HttpUnauthorizedResult();
            }
            else
            {
                if (filterContext.HttpContext.Request.Headers["Authorization"].StartsWith("Basic ", StringComparison.InvariantCultureIgnoreCase))
                {
                    string[] credentials = ASCIIEncoding.ASCII.GetString(Convert.FromBase64String(filterContext.HttpContext.Request.Headers["Authorization"].Substring(6))).Split(':');

                    if (credentials.Length == 2)
                    {
                        if (String.IsNullOrEmpty(credentials[0]))
                        {
                            filterContext.Result = new HttpUnauthorizedResult();
                        }
                        else if (!(credentials[0] == "username" && credentials[1] == "passwords"))
                        {
                            filterContext.Result = new HttpUnauthorizedResult();
                        }
                    }
                    else
                    {
                        filterContext.Result = new HttpUnauthorizedResult();
                    }
                }
                else
                {
                    filterContext.Result = new HttpUnauthorizedResult();
                }
            }

            base.OnActionExecuting(filterContext);
        }
        catch
        {
            filterContext.Result = new HttpUnauthorizedResult();
        }
    }

注释

• 我没有对用户名和密码进行非法字符检查。
• 我无法确定如何实现异常处理，所以我选择了简单化。

参考

(1) http://msdn.microsoft. com/en-us/magazine/gg232768.aspx

Answer 2

Adrian 的重构版本

public class BasicAuthenticationAttribute : ActionFilterAttribute
{
    private static readonly string AuthorizationHeader = "Authorization";
    private static readonly string BasicHeader = "Basic ";
    private static readonly string Username = "username";
    private static readonly string Password = "password";
    private static readonly char[] Separator = ":".ToCharArray();

    public override void OnActionExecuting(ActionExecutingContext filterContext)
    {
        try
        {
            if (!Authenticated(filterContext.HttpContext.Request))
                filterContext.Result = new HttpUnauthorizedResult();

            base.OnActionExecuting(filterContext);
        }
        catch
        {
            filterContext.Result = new HttpUnauthorizedResult();
        }
    }

    private bool Authenticated(HttpRequestBase httpRequestBase)
    {
        bool authenticated = false;

        if (String.IsNullOrEmpty(httpRequestBase.Headers[AuthorizationHeader]) == false &&
            httpRequestBase.Headers[AuthorizationHeader].StartsWith(BasicHeader, StringComparison.InvariantCultureIgnoreCase))
        {
            string[] credentials = Encoding.ASCII.GetString(Convert.FromBase64String(
                httpRequestBase.Headers[AuthorizationHeader].Substring(BasicHeader.Length))).Split(Separator);

            if (credentials.Length == 2 && credentials[0] == Username && credentials[1] == Password)
            {
                authenticated = true;
            }
        }

        return authenticated;
    }
}

Answer 3

这是基本身份验证的官方示例：

http://www.asp .net/web-api/overview/security/authentication-filters

另一篇文章，现在使用 OWIN：

https:// lbadri.wordpress.com/2013/07/13/basic-authentication-with-asp-net-web-api-using-owin-middleware/

Answer 4

1) 不，ActionFilter 属性不是验证用户身份的好方法。
（由于我们需要验证一次并设置验证cookie，因此HttpContext.User将保持验证状态直到cookie过期）

2）是的，设置filtercontext.Result是防止访问的理想方法。 （但不是分配 HttpNotFoundResult，而是使用 RedirectResult 重定向到登录页面）

3）我真的不明白为什么要对授权进行这样的实现。
最好的方法是执行一个操作来接收表单发布的数据（用户名和密码）。并使用Authorize属性来防止未经授权的访问。

以下是VS2010中默认MVC3示例应用程序的代码。

    [HttpPost]
    public ActionResult LogOn(LogOnModel model, string returnUrl)
    {
        if (ModelState.IsValid)
        {
            if (Membership.ValidateUser(model.UserName, model.Password))
            {
                FormsAuthentication.SetAuthCookie(model.UserName, model.RememberMe);
                if (Url.IsLocalUrl(returnUrl) && returnUrl.Length > 1 && returnUrl.StartsWith("/")
                    && !returnUrl.StartsWith("//") && !returnUrl.StartsWith("/\\"))
                {
                    return Redirect(returnUrl);
                }
                else
                {
                    return RedirectToAction("Index", "Home");
                }
            }
            else
            {
                ModelState.AddModelError("", "The user name or password provided is incorrect.");
            }
        }

        // If we got this far, something failed, redisplay form
        return View(model);
    }