Tại sao AuthorizeAttribution chuyển hướng đến trang đăng nhập để xác thực và lỗi ủy quyền?

Trong ASP.NET MVC, bạn có thể đánh dấu một phương thức điều khiển bằng AuthorizeAttribute, như sau:

[Authorize(Roles = "CanDeleteTags")]
public void Delete(string tagName)
{
    // ...
}

Điều này có nghĩa là, nếu người dùng hiện đang đăng nhập không có vai trò "CanDeleteTags", phương thức điều khiển sẽ không bao giờ được gọi.

Thật không may, đối với các lỗi, AuthorizeAttributetrả về HttpUnauthorizedResult, luôn trả về mã trạng thái HTTP 401. Điều này gây ra chuyển hướng đến trang đăng nhập.

Nếu người dùng không đăng nhập, điều này có ý nghĩa hoàn hảo. Tuy nhiên, nếu người dùng đã đăng nhập nhưng không ở vai trò bắt buộc, thật khó hiểu khi gửi họ trở lại trang đăng nhập.

Có vẻ như AuthorizeAttributexác nhận và ủy quyền.

Điều này có vẻ như một chút giám sát trong ASP.NET MVC, hoặc tôi đang thiếu một cái gì đó?

Tôi đã phải nấu một DemandRoleAttributecái tách hai cái đó ra. Khi người dùng không được xác thực, nó sẽ trả về HTTP 401, gửi chúng đến trang đăng nhập. Khi người dùng đăng nhập, nhưng không ở vai trò bắt buộc, nó sẽ tạo một NotAuthorizedResultthay thế. Hiện tại điều này chuyển hướng đến một trang lỗi.

Chắc chắn tôi không phải làm điều này?

Khi được phát triển lần đầu tiên, System.Web.Mvc.AuthorizeAttribution đã làm đúng - các phiên bản cũ hơn của đặc tả HTTP đã sử dụng mã trạng thái 401 cho cả "không được phép" và "không được xác thực".

Từ đặc điểm kỹ thuật ban đầu:

Nếu yêu cầu đã bao gồm thông tin xác thực ủy quyền, thì phản hồi 401 cho biết rằng ủy quyền đã bị từ chối cho các thông tin đăng nhập đó.

Trên thực tế, bạn có thể thấy sự nhầm lẫn ngay tại đó - nó sử dụng từ "ủy quyền" khi nó có nghĩa là "xác thực". Tuy nhiên, trong thực tế hàng ngày, việc trả lại 403 Cấm khi người dùng được xác thực nhưng không được ủy quyền sẽ có ý nghĩa hơn. Người dùng không có khả năng sẽ có một bộ thông tin xác thực thứ hai sẽ cung cấp cho họ quyền truy cập - trải nghiệm người dùng xấu xung quanh.

Hãy xem xét hầu hết các hệ điều hành - khi bạn cố đọc một tệp mà bạn không có quyền truy cập, bạn sẽ không hiển thị màn hình đăng nhập!

Rất may, các thông số kỹ thuật HTTP đã được cập nhật (tháng 6 năm 2014) để loại bỏ sự mơ hồ.

Từ "Giao thức truyền tải siêu văn bản (HTTP / 1.1): Xác thực" (RFC 7235):

Mã trạng thái 401 (Không được phép) cho biết rằng yêu cầu chưa được áp dụng vì nó thiếu thông tin xác thực hợp lệ cho tài nguyên đích.

Từ "Giao thức truyền siêu văn bản (HTTP / 1.1): Ngữ nghĩa và nội dung" (RFC 7231):

Mã trạng thái 403 (Bị cấm) chỉ ra rằng máy chủ hiểu yêu cầu nhưng từ chối ủy quyền.

Thật thú vị, tại thời điểm ASP.NET MVC 1 được phát hành, hành vi của AuthorizeAttribution là chính xác. Bây giờ, hành vi không chính xác - đặc tả HTTP / 1.1 đã được sửa.

Thay vì cố gắng thay đổi chuyển hướng trang đăng nhập của ASP.NET, việc khắc phục sự cố tại nguồn dễ dàng hơn. Bạn có thể tạo một thuộc tính mới có cùng tên ( AuthorizeAttribute) trong không gian tên mặc định của trang web của bạn (điều này rất quan trọng), sau đó trình biên dịch sẽ tự động chọn nó thay vì tiêu chuẩn của MVC. Tất nhiên, bạn luôn có thể đặt cho thuộc tính một tên mới nếu bạn muốn sử dụng phương pháp đó.

[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, Inherited = true, AllowMultiple = true)]
public class AuthorizeAttribute : System.Web.Mvc.AuthorizeAttribute
{
    protected override void HandleUnauthorizedRequest(System.Web.Mvc.AuthorizationContext filterContext)
    {
        if (filterContext.HttpContext.Request.IsAuthenticated)
        {
            filterContext.Result = new System.Web.Mvc.HttpStatusCodeResult((int)System.Net.HttpStatusCode.Forbidden);
        }
        else
        {
            base.HandleUnauthorizedRequest(filterContext);
        }
    }
}

Thêm phần này vào chức năng Page_Load đăng nhập của bạn:

// User was redirected here because of authorization section
if (User.Identity != null && User.Identity.IsAuthenticated)
    Response.Redirect("Unauthorized.aspx");

Khi người dùng được chuyển hướng đến đó nhưng đã đăng nhập, nó sẽ hiển thị trang trái phép. Nếu họ không đăng nhập, nó sẽ rơi vào và hiển thị trang đăng nhập.

Tôi luôn nghĩ rằng điều này có ý nghĩa. Nếu bạn đã đăng nhập và bạn cố gắng truy cập một trang yêu cầu vai trò mà bạn không có, bạn sẽ được chuyển tiếp đến màn hình đăng nhập yêu cầu bạn đăng nhập với người dùng có vai trò đó.

Bạn có thể thêm logic vào trang đăng nhập để kiểm tra xem người dùng đã được xác thực chưa. Bạn có thể thêm một tin nhắn thân thiện giải thích lý do tại sao họ lại bị đánh bại ở đó một lần nữa.

Thật không may, bạn đang xử lý hành vi mặc định của xác thực mẫu ASP.NET. Có một cách giải quyết (tôi chưa thử) đã thảo luận ở đây:

http://www.codeproject.com/KB/aspnet/Custon401Page.aspx

(Nó không dành riêng cho MVC)

Tôi nghĩ rằng trong hầu hết các trường hợp, giải pháp tốt nhất là hạn chế quyền truy cập vào các tài nguyên trái phép trước khi người dùng cố gắng đến đó. Bằng cách xóa / tô màu liên kết hoặc nút có thể đưa họ đến trang trái phép này.

Có lẽ sẽ rất tốt nếu có một tham số bổ sung trên thuộc tính để chỉ định nơi chuyển hướng người dùng trái phép. Nhưng trong lúc này, tôi xem AuthorizeAttribution như một mạng lưới an toàn.

Hãy thử điều này trong trình xử lý Application_EndRequest của tệp Global.ascx của bạn

if (HttpContext.Current.Response.Status.StartsWith("302") && HttpContext.Current.Request.Url.ToString().Contains("/<restricted_path>/"))
{
    HttpContext.Current.Response.ClearContent();
    Response.Redirect("~/AccessDenied.aspx");
}

Nếu bạn sử dụng aspnetcore 2.0, hãy sử dụng:

using System;
using Microsoft.AspNetCore.Mvc;
using Microsoft.AspNetCore.Mvc.Filters;

namespace Core
{
    [AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, Inherited = true, AllowMultiple = true)]
    public class AuthorizeApiAttribute : Microsoft.AspNetCore.Authorization.AuthorizeAttribute, IAuthorizationFilter
    {
        public void OnAuthorization(AuthorizationFilterContext context)
        {
            var user = context.HttpContext.User;

            if (!user.Identity.IsAuthenticated)
            {
                context.Result = new UnauthorizedResult();
                return;
            }
        }
    }
}

Trong trường hợp của tôi, vấn đề là "đặc tả HTTP đã sử dụng mã trạng thái 401 cho cả" không được ủy quyền "và" không được xác thực "". Như ShadowChaser đã nói.

Giải pháp này hiệu quả với tôi:

if (User != null &&  User.Identity.IsAuthenticated && Response.StatusCode == 401)
{
    //Do whatever

    //In my case redirect to error page
    Response.RedirectToRoute("Default", new { controller = "Home", action = "ErrorUnauthorized" });
}