為什么AuthorizeAttribute會(huì)重定向到登錄頁(yè)面以進(jìn)行身份驗(yàn)證和授權(quán)失敗？在ASP.NET MVC中，您可以使用如下標(biāo)記控制器方法AuthorizeAttribute：[Authorize(Roles = "CanDeleteTags")]public void Delete(string tagName){
// ...}這意味著，如果當(dāng)前登錄的用戶不在“CanDeleteTags”角色中，則永遠(yuǎn)不會(huì)調(diào)用控制器方法。不幸的是，對(duì)于失敗，AuthorizeAttribute返回HttpUnauthorizedResult，它總是返回HTTP狀態(tài)代碼401.這導(dǎo)致重定向到登錄頁(yè)面。如果用戶未登錄，則這非常有意義。但是，如果用戶已登錄但未處于所需角色，則將其發(fā)送回登錄頁(yè)面會(huì)很困惑。似乎AuthorizeAttribute將身份驗(yàn)證和授權(quán)混為一談。這似乎是ASP.NET MVC的一個(gè)疏忽，或者我錯(cuò)過(guò)了什么？我不得不做一個(gè)DemandRoleAttribute將兩者分開(kāi)的東西。當(dāng)用戶未經(jīng)過(guò)身份驗(yàn)證時(shí)，它會(huì)返回HTTP 401，并將其發(fā)送到登錄頁(yè)面。當(dāng)用戶登錄但未處于所需角色時(shí)，它會(huì)創(chuàng)建一個(gè)NotAuthorizedResult。目前，這會(huì)重定向到錯(cuò)誤頁(yè)面。當(dāng)然我不必這樣做？
3 回答
當(dāng)年話下
TA貢獻(xiàn)1890條經(jīng)驗(yàn) 獲得超9個(gè)贊
將其添加到您的Login Page_Load功能：
// User was redirected here because of authorization section
if (User.Identity != null && User.Identity.IsAuthenticated)
Response.Redirect("Unauthorized.aspx");當(dāng)用戶重定向到那里但已經(jīng)登錄時(shí)，它會(huì)顯示未授權(quán)的頁(yè)面。如果他們沒(méi)有登錄，則會(huì)顯示登錄頁(yè)面。
侃侃無(wú)極
TA貢獻(xiàn)2051條經(jīng)驗(yàn) 獲得超10個(gè)贊
不幸的是，您正在處理ASP.NET表單身份驗(yàn)證的默認(rèn)行為。這里討論了一種解決方法（我還沒(méi)試過(guò)）：
http://www.codeproject.com/KB/aspnet/Custon401Page.aspx
（它不是特定于MVC）
我認(rèn)為在大多數(shù)情況下，最好的解決方案是在用戶嘗試到達(dá)之前限制對(duì)未經(jīng)授權(quán)資源的訪問(wèn)。刪除/刪除可能將其帶到此未授權(quán)頁(yè)面的鏈接或按鈕。
在屬性上有一個(gè)額外的參數(shù)來(lái)指定重定向未授權(quán)用戶的位置可能會(huì)很好。但與此同時(shí)，我將AuthorizeAttribute視為一個(gè)安全網(wǎng)。
- 3 回答
- 0 關(guān)注
- 828 瀏覽
添加回答
舉報(bào)
0/150
提交
取消