ASP.NET Web API: Cách đúng để trả về phản hồi 401 / trái phép

Tôi có trang webapi MVC sử dụng xác thực OAuth / mã thông báo để xác thực các yêu cầu. Tất cả các bộ điều khiển liên quan đều có thuộc tính phù hợp và xác thực đang hoạt động tốt.

Vấn đề là không phải tất cả yêu cầu đều có thể được ủy quyền trong phạm vi của một thuộc tính - một số kiểm tra ủy quyền phải được thực hiện trong mã được gọi bởi các phương thức bộ điều khiển - cách chính xác để trả về phản hồi 401 trái phép trong trường hợp này là gì?

Tôi đã thử throw new HttpException(401, "Unauthorized access");, nhưng khi tôi làm điều này, mã trạng thái phản hồi là 500 và tôi cũng nhận được dấu vết ngăn xếp. Ngay cả trong trình ghi nhật ký của chúng tôi, chúng tôi có thể thấy rằng phản hồi là 500, không phải 401.

Bạn nên ném một HttpResponseExceptiontừ phương thức API của mình, không phải HttpException:

throw new HttpResponseException(HttpStatusCode.Unauthorized);

Hoặc, nếu bạn muốn cung cấp một thông báo tùy chỉnh:

var msg = new HttpResponseMessage(HttpStatusCode.Unauthorized) { ReasonPhrase = "Oops!!!" };
throw new HttpResponseException(msg);

Chỉ cần trả lại như sau:

return Unauthorized();

Để thay thế cho các câu trả lời khác, bạn cũng có thể sử dụng mã này nếu bạn muốn trả về một IActionResultbộ điều khiển ASP.NET.

ASP.NET

 return Content(HttpStatusCode.Unauthorized, "My error message");

Cập nhật: ASP.NET Core

Mã trên không hoạt động trong ASP.NET Core, bạn có thể sử dụng một trong những mã này để thay thế:

 return StatusCode((int)System.Net.HttpStatusCode.Unauthorized, "My error message");
 return StatusCode(401, "My error message");

Rõ ràng cụm từ lý do là khá tùy chọn ( Phản hồi HTTP có thể bỏ qua Cụm từ lý do không? )

Bạn nhận được mã phản hồi 500 vì bạn đang ném một ngoại lệ (cái HttpException) cho biết một số loại lỗi máy chủ, đây là cách tiếp cận sai.

Chỉ cần đặt mã trạng thái phản hồi .eg

Response.StatusCode = (int)HttpStatusCode.Unauthorized;

Để thêm vào câu trả lời hiện có trong ASP.NET Core> = 1.0, bạn có thể

return Unauthorized();

return Unauthorized(object value);

Để chuyển thông tin cho khách hàng, bạn có thể thực hiện một cuộc gọi như sau:

return Unauthorized(new { Ok = false, Code = Constants.INVALID_CREDENTIALS, ...});

Trên máy khách, ngoài phản hồi 401, bạn cũng sẽ có dữ liệu được chuyển. Ví dụ trên hầu hết các khách hàng, bạn có thể await response.json()lấy nó.

Trong .Net Core Bạn có thể sử dụng

return new ForbidResult();

thay vì

return Unauthorized();

có lợi thế để chuyển hướng đến trang trái phép mặc định (Tài khoản / AccessDenied) thay vì đưa ra 401 ngay lập tức

để thay đổi vị trí mặc định, hãy sửa đổi startup.cs của bạn

services.AddAuthentication(options =>...)
            .AddOpenIdConnect(options =>...)
            .AddCookie(options =>
            {
                options.AccessDeniedPath = "/path/unauthorized";

            })

bạn có thể sử dụng mã sau trong asp.net core 2.0:

public IActionResult index()
{
     return new ContentResult() { Content = "My error message", StatusCode = (int)HttpStatusCode.Unauthorized };
}

Bạn cũng làm theo mã này:

var response = new HttpResponseMessage(HttpStatusCode.NotFound)
{
      Content = new StringContent("Users doesn't exist", System.Text.Encoding.UTF8, "text/plain"),
      StatusCode = HttpStatusCode.NotFound
 }
 throw new HttpResponseException(response);