Interfejs API sieci Web ASP.NET: poprawny sposób zwracania 401 / nieautoryzowanej odpowiedzi

Mam witrynę internetową MVC, która używa uwierzytelniania OAuth / token do uwierzytelniania żądań. Wszystkie odpowiednie kontrolery mają odpowiednie atrybuty, a uwierzytelnianie działa prawidłowo.

Problem polega na tym, że nie wszystkie żądania można autoryzować w zakresie atrybutu - niektóre sprawdzenia autoryzacji muszą być przeprowadzane w kodzie wywoływanym przez metody kontrolera - jaki jest prawidłowy sposób zwrócenia nieautoryzowanej odpowiedzi 401 w tym przypadku?

Próbowałem throw new HttpException(401, "Unauthorized access");, ale kiedy to zrobię, kod statusu odpowiedzi to 500 i otrzymuję również ślad stosu. Nawet w naszym logowaniu DelegatingHandler widzimy, że odpowiedź to 500, a nie 401.

Powinieneś wyrzucać HttpResponseExceptionze swojej metody API, a nie HttpException:

throw new HttpResponseException(HttpStatusCode.Unauthorized);

Lub, jeśli chcesz podać niestandardową wiadomość:

var msg = new HttpResponseMessage(HttpStatusCode.Unauthorized) { ReasonPhrase = "Oops!!!" };
throw new HttpResponseException(msg);

Po prostu zwróć następujące informacje:

return Unauthorized();

Alternatywnie do innych odpowiedzi możesz również użyć tego kodu, jeśli chcesz zwrócić IActionResultw kontrolerze ASP.NET.

ASP.NET

 return Content(HttpStatusCode.Unauthorized, "My error message");

Aktualizacja: ASP.NET Core

Powyższy kod nie działa w ASP.NET Core, możesz zamiast tego użyć jednego z nich:

 return StatusCode((int)System.Net.HttpStatusCode.Unauthorized, "My error message");
 return StatusCode(401, "My error message");

Najwyraźniej fraza powodu jest dość opcjonalna ( czy w odpowiedzi HTTP można pominąć wyrażenie powodu? )

Otrzymujesz kod odpowiedzi 500, ponieważ rzucasz wyjątek (the HttpException), który wskazuje na jakiś rodzaj błędu serwera, to jest niewłaściwe podejście.

Wystarczy ustawić kod statusu odpowiedzi .eg

Response.StatusCode = (int)HttpStatusCode.Unauthorized;

Aby dodać do istniejącej odpowiedzi w ASP.NET Core> = 1,0, możesz

return Unauthorized();

return Unauthorized(object value);

Aby przekazać informacje klientowi, możesz zadzwonić w ten sposób:

return Unauthorized(new { Ok = false, Code = Constants.INVALID_CREDENTIALS, ...});

Na kliencie oprócz odpowiedzi 401 będziesz miał również przekazane dane. Na przykład w przypadku większości klientów możeszawait response.json() to uzyskać.

W .Net Core możesz użyć

return new ForbidResult();

zamiast

return Unauthorized();

który ma tę zaletę, że przekierowuje na domyślną nieautoryzowaną stronę (Odmowa dostępu / Konta) zamiast podawania prostego 401

aby zmienić domyślną lokalizację, zmodyfikuj plik startup.cs

services.AddAuthentication(options =>...)
            .AddOpenIdConnect(options =>...)
            .AddCookie(options =>
            {
                options.AccessDeniedPath = "/path/unauthorized";

            })

możesz użyć następującego kodu w asp.net core 2.0:

public IActionResult index()
{
     return new ContentResult() { Content = "My error message", StatusCode = (int)HttpStatusCode.Unauthorized };
}

Postępujesz również zgodnie z tym kodem:

var response = new HttpResponseMessage(HttpStatusCode.NotFound)
{
      Content = new StringContent("Users doesn't exist", System.Text.Encoding.UTF8, "text/plain"),
      StatusCode = HttpStatusCode.NotFound
 }
 throw new HttpResponseException(response);