ASP.NET Web API: Cara yang benar untuk mengembalikan respons 401 / tidak sah

Saya memiliki situs MVC webapi yang menggunakan otentikasi OAuth / token untuk mengotentikasi permintaan. Semua pengontrol yang relevan memiliki atribut yang benar, dan otentikasi berfungsi dengan baik.

Masalahnya adalah tidak semua permintaan dapat diotorisasi dalam cakupan atribut - beberapa pemeriksaan otorisasi harus dilakukan dalam kode yang dipanggil oleh metode pengontrol - apa cara yang benar untuk mengembalikan respons 401 tidak sah dalam kasus ini?

Saya telah mencoba throw new HttpException(401, "Unauthorized access");, tetapi ketika saya melakukan ini, kode status respons adalah 500 dan saya juga mendapatkan jejak tumpukan. Bahkan dalam pendataan DelegatingHandler, kita dapat melihat bahwa responnya adalah 500, bukan 401.

Anda harus membuang HttpResponseExceptiondari metode API Anda, bukan HttpException:

throw new HttpResponseException(HttpStatusCode.Unauthorized);

Atau, jika Anda ingin memberikan pesan khusus:

var msg = new HttpResponseMessage(HttpStatusCode.Unauthorized) { ReasonPhrase = "Oops!!!" };
throw new HttpResponseException(msg);

Kembalikan saja yang berikut ini:

return Unauthorized();

Sebagai alternatif jawaban lain, Anda juga dapat menggunakan kode ini jika Anda ingin mengembalikan IActionResultdalam pengontrol ASP.NET.

ASP.NET

 return Content(HttpStatusCode.Unauthorized, "My error message");

Pembaruan: ASP.NET Core

Kode di atas tidak berfungsi di ASP.NET Core, Anda dapat menggunakan salah satu dari berikut ini:

 return StatusCode((int)System.Net.HttpStatusCode.Unauthorized, "My error message");
 return StatusCode(401, "My error message");

Rupanya frasa alasan cukup opsional ( Dapatkah respons HTTP menghilangkan Frase-Alasan? )

Anda mendapatkan kode respon 500 karena Anda melontarkan pengecualian (the HttpException) yang menunjukkan beberapa jenis kesalahan server, ini adalah pendekatan yang salah.

Cukup atur kode status respons .eg

Response.StatusCode = (int)HttpStatusCode.Unauthorized;

Untuk menambah jawaban yang ada di ASP.NET Core> = 1.0 Anda bisa

return Unauthorized();

return Unauthorized(object value);

Untuk meneruskan info ke klien, Anda dapat melakukan panggilan seperti ini:

return Unauthorized(new { Ok = false, Code = Constants.INVALID_CREDENTIALS, ...});

Pada klien selain respons 401, Anda juga akan mendapatkan data yang diteruskan. Misalnya pada kebanyakan klien Anda bisa await response.json()mendapatkannya.

Dalam .Net Core Anda dapat menggunakan

return new ForbidResult();

dari pada

return Unauthorized();

yang memiliki keuntungan untuk mengalihkan ke halaman default yang tidak sah (Akun / AccessDenied) daripada memberikan 401 langsung

untuk mengubah lokasi default, ubah startup.cs Anda

services.AddAuthentication(options =>...)
            .AddOpenIdConnect(options =>...)
            .AddCookie(options =>
            {
                options.AccessDeniedPath = "/path/unauthorized";

            })

Anda dapat menggunakan kode ikuti di asp.net core 2.0:

public IActionResult index()
{
     return new ContentResult() { Content = "My error message", StatusCode = (int)HttpStatusCode.Unauthorized };
}

Anda juga mengikuti kode ini:

var response = new HttpResponseMessage(HttpStatusCode.NotFound)
{
      Content = new StringContent("Users doesn't exist", System.Text.Encoding.UTF8, "text/plain"),
      StatusCode = HttpStatusCode.NotFound
 }
 throw new HttpResponseException(response);