API Web ASP.NET: modo corretto per restituire una risposta 401 / non autorizzata

Ho un sito webapi MVC che utilizza l'autenticazione OAuth / token per autenticare le richieste. Tutti i controller rilevanti hanno gli attributi giusti e l'autenticazione funziona correttamente.

Il problema è che non tutte le richieste possono essere autorizzate nell'ambito di un attributo - alcuni controlli di autorizzazione devono essere eseguiti nel codice chiamato dai metodi del controller - qual è il modo corretto per restituire una risposta 401 non autorizzata in questo caso?

Ho provato throw new HttpException(401, "Unauthorized access");, ma quando lo faccio il codice di stato della risposta è 500 e ottengo anche una traccia dello stack. Anche nella nostra registrazione DelegatingHandler possiamo vedere che la risposta è 500, non 401.

Dovresti lanciare un HttpResponseExceptiondal tuo metodo API, non HttpException:

throw new HttpResponseException(HttpStatusCode.Unauthorized);

Oppure, se desideri fornire un messaggio personalizzato:

var msg = new HttpResponseMessage(HttpStatusCode.Unauthorized) { ReasonPhrase = "Oops!!!" };
throw new HttpResponseException(msg);

Basta restituire quanto segue:

return Unauthorized();

In alternativa alle altre risposte, puoi anche utilizzare questo codice se vuoi restituire un IActionResultall'interno di un controller ASP.NET.

ASP.NET

 return Content(HttpStatusCode.Unauthorized, "My error message");

Aggiornamento: ASP.NET Core

Il codice sopra non funziona in ASP.NET Core, puoi invece usare uno di questi:

 return StatusCode((int)System.Net.HttpStatusCode.Unauthorized, "My error message");
 return StatusCode(401, "My error message");

Apparentemente la frase del motivo è piuttosto facoltativa ( una risposta HTTP può omettere la frase-motivo? )

Ottieni un codice di risposta 500 perché stai lanciando un'eccezione (il HttpException) che indica un qualche tipo di errore del server, questo è l'approccio sbagliato.

Basta impostare il codice di stato della risposta .eg

Response.StatusCode = (int)HttpStatusCode.Unauthorized;

Per aggiungere a una risposta esistente in ASP.NET Core> = 1.0 puoi

return Unauthorized();

return Unauthorized(object value);

Per passare informazioni al cliente puoi fare una chiamata come questa:

return Unauthorized(new { Ok = false, Code = Constants.INVALID_CREDENTIALS, ...});

Sul client oltre alla risposta 401 avrai anche i dati passati. Ad esempio, sulla maggior parte dei clienti puoi await response.json()ottenerlo.

In .Net Core È possibile utilizzare

return new ForbidResult();

invece di

return Unauthorized();

che ha il vantaggio di reindirizzare alla pagina non autorizzata predefinita (Account / AccessDenied) piuttosto che dare un semplice 401

per cambiare la posizione predefinita, modificare il file startup.cs

services.AddAuthentication(options =>...)
            .AddOpenIdConnect(options =>...)
            .AddCookie(options =>
            {
                options.AccessDeniedPath = "/path/unauthorized";

            })

puoi usare il codice seguente in asp.net core 2.0:

public IActionResult index()
{
     return new ContentResult() { Content = "My error message", StatusCode = (int)HttpStatusCode.Unauthorized };
}

Segui anche questo codice:

var response = new HttpResponseMessage(HttpStatusCode.NotFound)
{
      Content = new StringContent("Users doesn't exist", System.Text.Encoding.UTF8, "text/plain"),
      StatusCode = HttpStatusCode.NotFound
 }
 throw new HttpResponseException(response);