ASP.NET Web API: 401 / yetkisiz yanıt döndürmenin doğru yolu

İsteklerin kimliğini doğrulamak için OAuth / belirteç kimlik doğrulamasını kullanan bir MVC webapi sitem var. İlgili tüm denetleyiciler doğru özniteliklere sahiptir ve kimlik doğrulama sorunsuz çalışıyor.

Sorun, tüm talebin bir öznitelik kapsamında yetkilendirilememesidir - bazı yetkilendirme kontrollerinin, denetleyici yöntemleri tarafından çağrılan kodda gerçekleştirilmesi gerekir - bu durumda 401 yetkisiz yanıtı döndürmenin doğru yolu nedir?

Denedim throw new HttpException(401, "Unauthorized access");, ancak bunu yaptığımda yanıt durum kodu 500 ve ayrıca bir yığın izleme alıyorum. DelegatingHandler günlüğümüzde bile yanıtın 401 değil 500 olduğunu görebiliriz.

Aşağıdakilere HttpResponseExceptiondeğil, API yönteminizden bir atmanız gerekir HttpException:

throw new HttpResponseException(HttpStatusCode.Unauthorized);

Veya, özel bir mesaj sağlamak istiyorsanız:

var msg = new HttpResponseMessage(HttpStatusCode.Unauthorized) { ReasonPhrase = "Oops!!!" };
throw new HttpResponseException(msg);

Aşağıdakileri iade etmeniz yeterlidir:

return Unauthorized();

Diğer yanıtlara alternatif olarak, IActionResultbir ASP.NET denetleyicisi içinde döndürmek istiyorsanız bu kodu da kullanabilirsiniz .

ASP.NET

 return Content(HttpStatusCode.Unauthorized, "My error message");

Güncelleştirme: ASP.NET Core

Yukarıdaki kod ASP.NET Core'da çalışmaz, bunun yerine bunlardan birini kullanabilirsiniz:

 return StatusCode((int)System.Net.HttpStatusCode.Unauthorized, "My error message");
 return StatusCode(Microsoft.AspNetCore.Http.StatusCodes.Status401Unauthorized, "My error message");
 return StatusCode(401, "My error message");

Görünüşe göre neden ifadesi oldukça isteğe bağlıdır ( Bir HTTP yanıtı, Neden İfadesini çıkarabilir mi? )

500 yanıt kodu alırsınız çünkü bir HttpExceptiontür sunucu hatasını gösteren bir istisna (the ) atarsınız, bu yanlış yaklaşımdır.

Sadece yanıt durum kodunu ayarlayın .eg

Response.StatusCode = (int)HttpStatusCode.Unauthorized;

ASP.NET Core> = 1.0'daki mevcut bir yanıta eklemek için şunları yapabilirsiniz:

return Unauthorized();

return Unauthorized(object value);

Müşteriye bilgi iletmek için aşağıdaki gibi bir arama yapabilirsiniz:

return Unauthorized(new { Ok = false, Code = Constants.INVALID_CREDENTIALS, ...});

İstemcide 401 yanıtının yanı sıra aktarılan verilere de sahip olacaksınız. Örneğin, çoğu müşteride bunu elde edebilirsiniz await response.json().

NET Core'da kullanabilirsiniz

return new ForbidResult();

onun yerine

return Unauthorized();

Doğrudan bir 401 vermek yerine varsayılan yetkisiz sayfaya (Hesap / Erişim Reddedildi) yönlendirme avantajı vardır.

varsayılan konumu değiştirmek için startup.cs dosyanızı değiştirin

services.AddAuthentication(options =>...)
            .AddOpenIdConnect(options =>...)
            .AddCookie(options =>
            {
                options.AccessDeniedPath = "/path/unauthorized";

            })

asp.net core 2.0'da aşağıdaki kodu kullanabilirsiniz:

public IActionResult index()
{
     return new ContentResult() { Content = "My error message", StatusCode = (int)HttpStatusCode.Unauthorized };
}

Ayrıca şu kodu da takip edersiniz:

var response = new HttpResponseMessage(HttpStatusCode.NotFound)
{
      Content = new StringContent("Users doesn't exist", System.Text.Encoding.UTF8, "text/plain"),
      StatusCode = HttpStatusCode.NotFound
 }
 throw new HttpResponseException(response);