เหตุใด AuthorizeAttribute จึงเปลี่ยนเส้นทางไปที่หน้าเข้าสู่ระบบเพื่อตรวจสอบสิทธิ์และล้มเหลว

ใน ASP.NET MVC คุณสามารถทำเครื่องหมายวิธีควบคุมด้วยAuthorizeAttributeเช่น:

[Authorize(Roles = "CanDeleteTags")]
public void Delete(string tagName)
{
    // ...
}

ซึ่งหมายความว่าหากผู้ใช้ที่เข้าสู่ระบบในปัจจุบันไม่ได้อยู่ในบทบาท "CanDeleteTags" วิธีการควบคุมจะไม่ถูกเรียก

น่าเสียดายสำหรับความล้มเหลวAuthorizeAttributeจะส่งคืนHttpUnauthorizedResultซึ่งจะส่งคืนรหัสสถานะ HTTP 401 เสมอซึ่งจะทำให้การเปลี่ยนเส้นทางไปยังหน้าเข้าสู่ระบบ

หากผู้ใช้ไม่ได้เข้าสู่ระบบนี่เหมาะสมอย่างยิ่ง อย่างไรก็ตามหากผู้ใช้เข้าสู่ระบบแล้วแต่ไม่ได้อยู่ในบทบาทที่ต้องการมันก็สับสนที่จะส่งพวกเขากลับไปที่หน้าเข้าสู่ระบบ

ดูเหมือนว่าการAuthorizeAttributeพิสูจน์ตัวตนและการอนุญาต conflates

ดูเหมือนว่าการกำกับดูแลใน ASP.NET MVC หรือฉันขาดอะไรไป?

ฉันต้องทำอาหารDemandRoleAttributeที่แยกทั้งสอง เมื่อผู้ใช้ไม่ได้รับการรับรองความถูกต้องก็จะส่งคืน HTTP 401 ส่งไปยังหน้าเข้าสู่ระบบ เมื่อผู้ใช้เข้าสู่ระบบ แต่ไม่ได้อยู่ในบทบาทที่ต้องการก็จะสร้างขึ้นNotAuthorizedResultแทน ปัจจุบันนี้เปลี่ยนเส้นทางไปยังหน้าข้อผิดพลาด

แน่นอนฉันไม่ต้องทำเช่นนี้?

เมื่อได้รับการพัฒนาขึ้นครั้งแรก System.Web.Mvc.AuthorizeAttribute กำลังทำสิ่งที่ถูกต้อง - การแก้ไขเก่าของข้อกำหนด HTTP ที่ใช้รหัสสถานะ 401 สำหรับทั้ง "ไม่ได้รับอนุญาต" และ "ไม่ได้รับการรับรองความถูกต้อง"

จากสเปคเดิม:

หากคำร้องขอนั้นมีข้อมูลประจำตัวการอนุญาตแล้วการตอบสนอง 401 บ่งชี้ว่าการอนุญาตนั้นถูกปฏิเสธสำหรับข้อมูลรับรองเหล่านั้น

ในความเป็นจริงคุณสามารถเห็นความสับสนที่นั่น - มันใช้คำว่า "การอนุญาต" เมื่อมันหมายถึง "การรับรองความถูกต้อง" อย่างไรก็ตามในทางปฏิบัติในชีวิตประจำวันมันเหมาะสมกว่าที่จะส่งคืน 403 สิ่งต้องห้ามเมื่อผู้ใช้รับรองความถูกต้อง แต่ไม่ได้รับอนุญาต ไม่น่าเป็นไปได้ที่ผู้ใช้จะมีหนังสือรับรองชุดที่สองที่จะให้พวกเขาเข้าถึง - ประสบการณ์ผู้ใช้ที่ไม่ดีรอบตัว

พิจารณาระบบปฏิบัติการส่วนใหญ่ - เมื่อคุณพยายามอ่านไฟล์ที่คุณไม่มีสิทธิ์เข้าถึงคุณจะไม่เห็นหน้าจอเข้าสู่ระบบ!

โชคดีที่ข้อมูลจำเพาะ HTTP ได้รับการอัปเดต (มิถุนายน 2014) เพื่อลบความคลุมเครือ

จาก "Hyper Text Transport Protocol (HTTP / 1.1): การตรวจสอบความถูกต้อง" (RFC 7235):

รหัสสถานะ 401 (ไม่ได้รับอนุญาต) บ่งชี้ว่าการร้องขอนั้นไม่ได้ถูกนำไปใช้เพราะมันไม่มีข้อมูลรับรองการตรวจสอบสิทธิ์ที่ถูกต้องสำหรับทรัพยากรเป้าหมาย

จาก "Hypertext Transfer Protocol (HTTP / 1.1): ความหมายและเนื้อหา" (RFC 7231):

รหัสสถานะ 403 (ต้องห้าม) ระบุว่าเซิร์ฟเวอร์เข้าใจคำขอ แต่ปฏิเสธที่จะอนุญาต

น่าสนใจพอในขณะนั้น ASP.NET MVC 1 ถูกเผยแพร่พฤติกรรมของ AuthorizeAttribute นั้นถูกต้อง ตอนนี้พฤติกรรมไม่ถูกต้อง - ข้อมูลจำเพาะ HTTP / 1.1 ได้รับการแก้ไขแล้ว

แทนที่จะพยายามเปลี่ยนหน้าการเข้าสู่ระบบของ ASP.NET จะเป็นการง่ายกว่าที่จะแก้ไขปัญหาที่แหล่งที่มา คุณสามารถสร้างแอททริบิวใหม่ด้วยชื่อเดียวกัน ( AuthorizeAttribute) ในเนมสเปซเริ่มต้นของเว็บไซต์ของคุณ (สำคัญมาก) จากนั้นคอมไพเลอร์จะเลือกโดยอัตโนมัติแทน MVC มาตรฐาน แน่นอนว่าคุณสามารถตั้งชื่อใหม่ให้แอตทริบิวต์ได้เสมอหากคุณต้องการใช้วิธีการนั้น

[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, Inherited = true, AllowMultiple = true)]
public class AuthorizeAttribute : System.Web.Mvc.AuthorizeAttribute
{
    protected override void HandleUnauthorizedRequest(System.Web.Mvc.AuthorizationContext filterContext)
    {
        if (filterContext.HttpContext.Request.IsAuthenticated)
        {
            filterContext.Result = new System.Web.Mvc.HttpStatusCodeResult((int)System.Net.HttpStatusCode.Forbidden);
        }
        else
        {
            base.HandleUnauthorizedRequest(filterContext);
        }
    }
}

เพิ่มไปยังฟังก์ชันเข้าสู่ระบบ Page_Load ของคุณ:

// User was redirected here because of authorization section
if (User.Identity != null && User.Identity.IsAuthenticated)
    Response.Redirect("Unauthorized.aspx");

เมื่อผู้ใช้ถูกเปลี่ยนเส้นทางที่นั่น แต่เข้าสู่ระบบแล้วมันจะแสดงหน้าเว็บที่ไม่ได้รับอนุญาต หากพวกเขาไม่ได้เข้าสู่ระบบก็จะผ่านและแสดงหน้าเข้าสู่ระบบ

ฉันคิดเสมอว่านี่สมเหตุสมผลแล้ว หากคุณเข้าสู่ระบบและคุณพยายามที่จะตีหน้าที่ต้องการบทบาทที่ไม่มีคุณจะถูกส่งต่อไปยังหน้าจอเข้าสู่ระบบขอให้คุณเข้าสู่ระบบด้วยผู้ใช้ที่มีบทบาท

คุณอาจเพิ่มตรรกะในหน้าเข้าสู่ระบบที่ตรวจสอบเพื่อดูว่าผู้ใช้รับรองความถูกต้องแล้ว คุณสามารถเพิ่มข้อความที่เป็นมิตรซึ่งอธิบายว่าทำไมพวกเขาจึงกลับมาที่นี่อีกครั้ง

น่าเสียดายที่คุณกำลังจัดการกับพฤติกรรมเริ่มต้นของการตรวจสอบสิทธิ์แบบฟอร์ม ASP.NET มีวิธีแก้ปัญหา (ฉันยังไม่ได้ลอง) อธิบายไว้ที่นี่:

http://www.codeproject.com/KB/aspnet/Custon401Page.aspx

(ไม่เฉพาะเจาะจงกับ MVC)

ฉันคิดว่าในกรณีส่วนใหญ่ทางออกที่ดีที่สุดคือ จำกัด การเข้าถึงทรัพยากรที่ไม่ได้รับอนุญาตก่อนที่ผู้ใช้จะพยายามเข้าถึง โดยการลบ / ทำให้เป็นสีเทาลิงค์หรือปุ่มที่อาจนำพวกเขาไปยังหน้าไม่ได้รับอนุญาตนี้

อาจเป็นการดีที่จะมีพารามิเตอร์เพิ่มเติมในแอตทริบิวต์เพื่อระบุตำแหน่งที่จะเปลี่ยนเส้นทางผู้ใช้ที่ไม่ได้รับอนุญาต แต่ในระหว่างนี้ฉันดูที่ AuthorizeAttribute เป็นตาข่ายนิรภัย

ลองใช้วิธีนี้ในตัวจัดการ Application_EndRequest ของไฟล์ Global.ascx ของคุณ

if (HttpContext.Current.Response.Status.StartsWith("302") && HttpContext.Current.Request.Url.ToString().Contains("/<restricted_path>/"))
{
    HttpContext.Current.Response.ClearContent();
    Response.Redirect("~/AccessDenied.aspx");
}

หากคุณใช้ aspnetcore 2.0 ให้ใช้สิ่งนี้:

using System;
using Microsoft.AspNetCore.Mvc;
using Microsoft.AspNetCore.Mvc.Filters;

namespace Core
{
    [AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, Inherited = true, AllowMultiple = true)]
    public class AuthorizeApiAttribute : Microsoft.AspNetCore.Authorization.AuthorizeAttribute, IAuthorizationFilter
    {
        public void OnAuthorization(AuthorizationFilterContext context)
        {
            var user = context.HttpContext.User;

            if (!user.Identity.IsAuthenticated)
            {
                context.Result = new UnauthorizedResult();
                return;
            }
        }
    }
}

ในกรณีของฉันปัญหาคือ "ข้อมูลจำเพาะ HTTP ที่ใช้รหัสสถานะ 401 ทั้ง" ไม่ได้รับอนุญาต "และ" ไม่รับรองความถูกต้อง "" ดังที่ ShadowChaser กล่าว

วิธีนี้ใช้ได้ผลสำหรับฉัน:

if (User != null &&  User.Identity.IsAuthenticated && Response.StatusCode == 401)
{
    //Do whatever

    //In my case redirect to error page
    Response.RedirectToRoute("Default", new { controller = "Home", action = "ErrorUnauthorized" });
}