Веб-API ASP.NET: Правильний спосіб повернення 401 / несанкціонованої відповіді

У мене є веб-сайт MVC, який використовує автентифікацію OAuth / маркер для автентифікації запитів. Усі відповідні контролери мають правильні атрибути, і автентифікація працює нормально.

Проблема полягає в тому, що не всі запити можуть бути авторизовані в межах атрибута - деякі перевірки авторизації повинні виконуватися в коді, який викликається методами контролера - який правильний спосіб повернути несанкціоновану відповідь 401 у цьому випадку?

Я намагався throw new HttpException(401, "Unauthorized access");, але коли я це роблю, код стану відповіді становить 500, і я також отримую трасування стека. Навіть у нашому журналі DelegatingHandler ми бачимо, що відповідь 500, а не 401.

Ви повинні кидати a HttpResponseExceptionз вашого методу API, а не HttpException:

throw new HttpResponseException(HttpStatusCode.Unauthorized);

Або, якщо ви хочете надати власне повідомлення:

var msg = new HttpResponseMessage(HttpStatusCode.Unauthorized) { ReasonPhrase = "Oops!!!" };
throw new HttpResponseException(msg);

Просто поверніть наступне:

return Unauthorized();

Як альтернативу іншим відповідям, ви також можете використовувати цей код, якщо хочете повернути IActionResultконтролер ASP.NET.

ASP.NET

 return Content(HttpStatusCode.Unauthorized, "My error message");

Оновлення: ASP.NET Core

Наведений вище код не працює в ASP.NET Core, замість цього ви можете використовувати один із них:

 return StatusCode((int)System.Net.HttpStatusCode.Unauthorized, "My error message");
 return StatusCode(401, "My error message");

Очевидно, фраза-причина досить необов'язкова ( Чи може HTTP-відповідь опустити фразу-причину? )

Ви отримуєте код відповіді 500, оскільки ви створюєте виняток ( HttpException), який вказує на якусь помилку сервера, це неправильний підхід.

Просто встановіть код стану відповіді, наприклад

Response.StatusCode = (int)HttpStatusCode.Unauthorized;

Щоб додати до існуючої відповіді в ASP.NET Core> = 1.0, ви можете

return Unauthorized();

return Unauthorized(object value);

Щоб передати інформацію клієнту, ви можете зробити такий дзвінок:

return Unauthorized(new { Ok = false, Code = Constants.INVALID_CREDENTIALS, ...});

На клієнті крім відповіді 401 ви також будете мати передані дані. Наприклад, у більшості клієнтів ви можете await response.json()це отримати.

У .Net Core Ви можете використовувати

return new ForbidResult();

замість

return Unauthorized();

що має перевагу перенаправляти на несанкціоновану сторінку за замовчуванням (Account / AccessDenied), а не давати прямий 401

щоб змінити місце за замовчуванням, змініть свій startup.cs

services.AddAuthentication(options =>...)
            .AddOpenIdConnect(options =>...)
            .AddCookie(options =>
            {
                options.AccessDeniedPath = "/path/unauthorized";

            })

Ви можете використовувати наступний код в asp.net core 2.0:

public IActionResult index()
{
     return new ContentResult() { Content = "My error message", StatusCode = (int)HttpStatusCode.Unauthorized };
}

Ви також дотримуєтесь цього коду:

var response = new HttpResponseMessage(HttpStatusCode.NotFound)
{
      Content = new StringContent("Users doesn't exist", System.Text.Encoding.UTF8, "text/plain"),
      StatusCode = HttpStatusCode.NotFound
 }
 throw new HttpResponseException(response);