API Web ASP.NET: méthode correcte pour renvoyer une réponse 401 / non autorisée

J'ai un site Webapi MVC qui utilise l'authentification OAuth / jeton pour authentifier les demandes. Tous les contrôleurs concernés ont les bons attributs et l'authentification fonctionne correctement.

Le problème est que toute la demande ne peut pas être autorisée dans la portée d'un attribut - certaines vérifications d'autorisation doivent être effectuées dans un code appelé par les méthodes du contrôleur - quelle est la bonne façon de renvoyer une réponse 401 non autorisée dans ce cas?

J'ai essayé throw new HttpException(401, "Unauthorized access");, mais quand je fais cela, le code d'état de réponse est 500 et j'obtiens également une trace de pile. Même dans notre journalisation DelegatingHandler, nous pouvons voir que la réponse est 500, pas 401.

Vous devriez lancer un à HttpResponseExceptionpartir de votre méthode API, pas HttpException:

throw new HttpResponseException(HttpStatusCode.Unauthorized);

Ou, si vous souhaitez fournir un message personnalisé:

var msg = new HttpResponseMessage(HttpStatusCode.Unauthorized) { ReasonPhrase = "Oops!!!" };
throw new HttpResponseException(msg);

Renvoyez simplement ce qui suit:

return Unauthorized();

Comme alternative aux autres réponses, vous pouvez également utiliser ce code si vous souhaitez renvoyer un IActionResultdans un contrôleur ASP.NET.

ASP.NET

 return Content(HttpStatusCode.Unauthorized, "My error message");

Mise à jour: ASP.NET Core

Le code ci-dessus ne fonctionne pas dans ASP.NET Core, vous pouvez utiliser l'un de ceux-ci à la place:

 return StatusCode((int)System.Net.HttpStatusCode.Unauthorized, "My error message");
 return StatusCode(401, "My error message");

Apparemment, la phrase de raison est assez facultative ( une réponse HTTP peut-elle omettre la phrase de raison? )

Vous obtenez un code de réponse 500 parce que vous lancez une exception (le HttpException) qui indique une sorte d'erreur de serveur, c'est la mauvaise approche.

Définissez simplement le code d'état de la réponse .eg

Response.StatusCode = (int)HttpStatusCode.Unauthorized;

Pour ajouter à une réponse existante dans ASP.NET Core> = 1.0, vous pouvez

return Unauthorized();

return Unauthorized(object value);

Pour transmettre des informations au client, vous pouvez faire un appel comme ceci:

return Unauthorized(new { Ok = false, Code = Constants.INVALID_CREDENTIALS, ...});

Sur le client, en plus de la réponse 401, vous aurez également les données transmises. Par exemple, sur la plupart des clients, vous pouvez l' await response.json()obtenir.

Dans .Net Core, vous pouvez utiliser

return new ForbidResult();

au lieu de

return Unauthorized();

qui a l'avantage de rediriger vers la page non autorisée par défaut (Account / AccessDenied) plutôt que de donner un simple 401

pour changer l'emplacement par défaut, modifiez votre startup.cs

services.AddAuthentication(options =>...)
            .AddOpenIdConnect(options =>...)
            .AddCookie(options =>
            {
                options.AccessDeniedPath = "/path/unauthorized";

            })

vous pouvez utiliser le code suivant dans asp.net core 2.0:

public IActionResult index()
{
     return new ContentResult() { Content = "My error message", StatusCode = (int)HttpStatusCode.Unauthorized };
}

Vous suivez également ce code:

var response = new HttpResponseMessage(HttpStatusCode.NotFound)
{
      Content = new StringContent("Users doesn't exist", System.Text.Encoding.UTF8, "text/plain"),
      StatusCode = HttpStatusCode.NotFound
 }
 throw new HttpResponseException(response);