phép Tuỳ chỉnh trong Web.API

Question

sự hiểu biết của tôi về ASP.NET MVC là cho phép tôi nên sử dụng một cái gì đó giống như -

public class IPAuthorize : AuthorizeAttribute { 

protected override bool AuthorizeCore(HttpContextBase httpContext) { 
    //figure out if the ip is authorized 
    //and return true or false 
} 

Nhưng trong Web API, không có AuthorizeCore(..).

Có OnAuthorization(..) và lời khuyên chung cho MVC không được sử dụng OnAuthorization(..).

Tôi nên sử dụng thông tin gì để ủy quyền tùy chỉnh trong API Web?

Answer 1

Tôi không đồng ý với đối lập ở tất cả -

Authorization được thực hiện trong một bộ lọc cho phép - đó có nghĩa là bạn có nguồn gốc từ System.Web.Http.AuthorizeAttribute và thực hiện các phương pháp IsAuthorized.

Bạn không triển khai ủy quyền trong bộ lọc hành động thông thường vì chúng chạy sau trong đường dẫn hơn bộ lọc ủy quyền.

Bạn cũng không triển khai xác thực trong bộ lọc (như phân tích cú pháp JWT) - việc này được thực hiện thậm chí sớm hơn trong một điểm có thể mở rộng được gọi là MessageHandler.

Answer 2

Phương pháp chúng tôi sử dụng là thuộc tính ApiAuthorize tùy chỉnh kế thừa từ System.Web.Http.AuthorizeAttribute. ví dụ:

public class ApiAuthorizeAttribute : AuthorizeAttribute 
{ 
    readonly CreditPointModelContext _ctx = new CreditPointModelContext(); 

    public override void OnAuthorization(System.Web.Http.Controllers.HttpActionContext actionContext) 
    { 
     if(Authorize(actionContext)) 
     { 
      return; 
     } 
     HandleUnauthorizedRequest(actionContext); 
    } 

    protected override void HandleUnauthorizedRequest(System.Web.Http.Controllers.HttpActionContext actionContext) 
    { 
     var challengeMessage = new System.Net.Http.HttpResponseMessage(System.Net.HttpStatusCode.Unauthorized); 
     challengeMessage.Headers.Add("WWW-Authenticate", "Basic"); 
     throw new HttpResponseException(challengeMessage); 

    } 

    private bool Authorize(System.Web.Http.Controllers.HttpActionContext actionContext) 
    { 
     try 
     { 
      //boolean logic to determine if you are authorized. 
      //We check for a valid token in the request header or cookie. 


     } 
     catch (Exception) 
     { 
      return false; 
     } 
    } 
}