ASP.NET-Web-API: Richtige Methode zum Zurückgeben einer 401 / nicht autorisierten Antwort

Ich habe eine MVC-Webapi-Site, die die OAuth / Token-Authentifizierung zur Authentifizierung von Anforderungen verwendet. Alle relevanten Controller haben die richtigen Attribute und die Authentifizierung funktioniert einwandfrei.

Das Problem ist, dass nicht die gesamte Anforderung im Rahmen eines Attributs autorisiert werden kann - einige Autorisierungsprüfungen müssen in Code durchgeführt werden, der von Controller-Methoden aufgerufen wird - wie kann in diesem Fall eine nicht autorisierte 401-Antwort korrekt zurückgegeben werden?

Ich habe es versucht throw new HttpException(401, "Unauthorized access");, aber wenn ich das mache, ist der Antwortstatuscode 500 und ich bekomme auch einen Stack-Trace. Selbst in unserem Protokollierungs-DelegatingHandler können wir sehen, dass die Antwort 500 und nicht 401 ist.

Sie sollten eine HttpResponseExceptionaus Ihrer API-Methode werfen , nicht HttpException:

throw new HttpResponseException(HttpStatusCode.Unauthorized);

Oder wenn Sie eine benutzerdefinierte Nachricht bereitstellen möchten:

var msg = new HttpResponseMessage(HttpStatusCode.Unauthorized) { ReasonPhrase = "Oops!!!" };
throw new HttpResponseException(msg);

Geben Sie einfach Folgendes zurück:

return Unauthorized();

Alternativ zu den anderen Antworten können Sie diesen Code auch verwenden, wenn Sie einen IActionResultinnerhalb eines ASP.NET-Controllers zurückgeben möchten .

ASP.NET

 return Content(HttpStatusCode.Unauthorized, "My error message");

Update: ASP.NET Core

Der obige Code funktioniert in ASP.NET Core nicht. Sie können stattdessen einen der folgenden Codes verwenden:

 return StatusCode((int)System.Net.HttpStatusCode.Unauthorized, "My error message");
 return StatusCode(401, "My error message");

Anscheinend ist die Grundphrase ziemlich optional ( Kann eine HTTP-Antwort die Grundphrase weglassen? )

Sie erhalten einen 500-Antwortcode, weil Sie eine Ausnahme (die HttpException) auslösen, die auf einen Serverfehler hinweist. Dies ist der falsche Ansatz.

Stellen Sie einfach den Antwortstatuscode .eg ein

Response.StatusCode = (int)HttpStatusCode.Unauthorized;

Sie können eine vorhandene Antwort in ASP.NET Core> = 1.0 ergänzen

return Unauthorized();

return Unauthorized(object value);

Um Informationen an den Kunden weiterzuleiten, können Sie einen Anruf wie folgt tätigen:

return Unauthorized(new { Ok = false, Code = Constants.INVALID_CREDENTIALS, ...});

Auf dem Client haben Sie neben der 401-Antwort auch die übergebenen Daten. Zum Beispiel auf den meisten Kunden können Sie await response.json()es bekommen.

In .Net Core können Sie verwenden

return new ForbidResult();

anstatt

return Unauthorized();

Dies hat den Vorteil, dass auf die nicht autorisierte Standardseite (Account / AccessDenied) umgeleitet wird, anstatt eine gerade 401 zu geben

Um den Standardspeicherort zu ändern, ändern Sie Ihre startup.cs

services.AddAuthentication(options =>...)
            .AddOpenIdConnect(options =>...)
            .AddCookie(options =>
            {
                options.AccessDeniedPath = "/path/unauthorized";

            })

Sie können den folgenden Code in asp.net core 2.0 verwenden:

public IActionResult index()
{
     return new ContentResult() { Content = "My error message", StatusCode = (int)HttpStatusCode.Unauthorized };
}

Sie folgen auch diesem Code:

var response = new HttpResponseMessage(HttpStatusCode.NotFound)
{
      Content = new StringContent("Users doesn't exist", System.Text.Encoding.UTF8, "text/plain"),
      StatusCode = HttpStatusCode.NotFound
 }
 throw new HttpResponseException(response);