MVC Autoryzuj atrybut + HttpUnauthorizedResult + FormsAhentication

Question

Po przejrzeniu sekcji MVC na CodePlex zauważyłem, że atrybut [Authorize] w MVC zwraca HttpUnauthorizedResult(), gdy autoryzacja się nie powiedzie (codeplex AuthorizeAttribute class).

W źródle HttpUnauthorizedResult() z CodePlex jest kod (nie mam pozwolenia na wpisanie innego adresu URL, ponieważ mój przedstawiciel nie jest wystarczająco wysoki, ale zastępuje numery z powyższego adresu URL numerem 22929 # 266476):

// 401 is the HTTP status code for unauthorized access - setting this 
// will cause the active authentication module to execute its default 
// unauthorized handler 
context.HttpContext.Response.StatusCode = 401; 

W szczególności komentarz opisuje domyślny nieautoryzowany moduł obsługi modułu uwierzytelniania.

Nie mogę znaleźć żadnych informacji na temat tego domyślnego nieautoryzowanego programu obsługi. W szczególności nie używam FormsAuthentication i gdy autoryzacja nie powiedzie się, otrzymuję nieprzyjemną stronę błędu IIS 401.

Czy ktoś wie o tym domyślnym nieautoryzowanym module obsługi, a w szczególności o tym, w jaki sposób funkcja FormsAuthentication włącza się, aby go zastąpić?

Piszę bardzo prostą aplikację dla mojej drużyny piłkarskiej, która potwierdza lub zaprzecza, czy może zagrać konkretny mecz. Jeśli włączę FormsAuthentication w web.config przekierowanie działa, ale nie używam FormsAuthentication i chciałbym wiedzieć, czy istnieje obejście.

Answer 1

Jeśli masz Reflektor, spójrz na System.Web.Security.FormsAuthenticationModule.Init(). Ta metoda przechwytuje Application_EndRequest i wywołuje OnLeave(). Metoda OnLeave() sprawdza, czy kod odpowiedzi to HTTP 401. Jeśli tak, to moduł wykonuje przekierowanie zamiast bulgotania 401 do klienta. (Ta logika jest tym, co ten komentarz nazywa "domyślnym nieautoryzowanym handler'em"). W twoim konkretnym przypadku ASP.NET pozwala bąblowi 401 na klienta, ale IIS przechwytuje go i wyświetla brzydką stronę błędu.

Możesz zrobić coś bardzo podobnego z poziomu Global.asax. Utwórz metodę Application_EndRequest; ta metoda zostanie wywołana na końcu każdego żądania obsługiwanego przez Twoją aplikację. Stąd możesz robić, co chcesz. Jeśli chcesz sprawdzić, czy odpowiedź to 401 i przekierować je na inną stronę, możesz to zrobić tutaj.