Tại sao AuthorizeAttribute chuyển hướng đến trang đăng nhập để xác thực và ủy quyền thất bại?

Question

Trong ASP.NET MVC, bạn có thể đánh dấu một phương pháp điều khiển với AuthorizeAttribute, như thế này:

[Authorize(Roles = "CanDeleteTags")] 
public void Delete(string tagName) 
{ 
    // ... 
} 

Điều này có nghĩa rằng, nếu hiện đăng nhập người dùng không nằm trong "CanDeleteTags" vai trò, bộ điều khiển phương pháp sẽ không bao giờ được gọi.

Thật không may, đối với lỗi, AuthorizeAttribute trả về HttpUnauthorizedResult, mã này luôn trả về mã trạng thái HTTP 401. Điều này dẫn đến chuyển hướng đến trang đăng nhập.

Nếu người dùng không đăng nhập, điều này có ý nghĩa hoàn hảo. Tuy nhiên, nếu người dùng là đã được đăng nhập nhưng không nằm trong vai trò bắt buộc, thật khó hiểu khi gửi họ trở lại trang đăng nhập.

Dường như AuthorizeAttribute conflates xác thực và ủy quyền.

Điều này có vẻ giống như một chút giám sát trong ASP.NET MVC, hoặc tôi thiếu cái gì?

Tôi đã phải nấu một số DemandRoleAttribute để tách hai. Khi người dùng không được xác thực, nó trả về HTTP 401, gửi chúng đến trang đăng nhập. Khi người dùng đăng nhập, nhưng không phải là vai trò được yêu cầu, nó sẽ tạo ra một NotAuthorizedResult thay thế. Hiện tại, chuyển hướng này đến trang lỗi.

Chắc chắn tôi không phải làm điều này?

Answer 1

Khi phát triển lần đầu tiên, System.Web.Mvc.AuthorizeAttribute đã làm điều đúng - các phiên bản cũ hơn của đặc tả HTTP đã sử dụng mã trạng thái 401 cho cả "trái phép" và "chưa được xác thực".

Từ đặc điểm kỹ thuật ban đầu:

If the request already included Authorization credentials, then the 401 response indicates that authorization has been refused for those credentials.

Trong thực tế, bạn có thể thấy sự nhầm lẫn ngay tại đó - nó sử dụng từ "uỷ quyền" khi nó có nghĩa là "xác thực". Trong thực tế hàng ngày, tuy nhiên, nó có ý nghĩa hơn để trả lại một 403 Cấm khi người dùng được xác thực nhưng không được ủy quyền. Không chắc người dùng sẽ có tập thông tin đăng nhập thứ hai sẽ cung cấp cho họ quyền truy cập - trải nghiệm người dùng tồi khắp nơi.

Hãy xem xét hầu hết các hệ điều hành - khi bạn cố đọc một tệp mà bạn không có quyền truy cập, bạn sẽ không hiển thị màn hình đăng nhập!

Rất may, thông số kỹ thuật HTTP đã được cập nhật (tháng 6 năm 2014) để xóa sự mơ hồ.

Từ "Hyper Text Transport Protocol (HTTP/1.1): Xác thực" (RFC 7235):

The 401 (Unauthorized) status code indicates that the request has not been applied because it lacks valid authentication credentials for the target resource.

Từ "Hypertext Transfer Protocol (HTTP/1.1): Semantics và Nội dung" (RFC 7231):

The 403 (Forbidden) status code indicates that the server understood the request but refuses to authorize it.

Điều thú vị đủ, tại thời điểm ASP.NET MVC 1 được phát hành, hành vi của AuthorizeAttribute là chính xác. Bây giờ, hành vi không chính xác - đặc tả HTTP/1.1 đã được sửa.

Thay vì cố gắng thay đổi chuyển hướng trang đăng nhập của ASP.NET, sẽ dễ dàng hơn để khắc phục sự cố tại nguồn. Bạn có thể tạo thuộc tính mới có cùng tên (AuthorizeAttribute) trong không gian tên mặc định của trang web (điều này rất quan trọng), trình biên dịch sẽ tự động chọn nó thay vì tiêu chuẩn của MVC. Tất nhiên, bạn luôn có thể đặt tên cho thuộc tính nếu bạn muốn sử dụng phương pháp đó.

[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, Inherited = true, AllowMultiple = true)] 
public class AuthorizeAttribute : System.Web.Mvc.AuthorizeAttribute 
{ 
    protected override void HandleUnauthorizedRequest(System.Web.Mvc.AuthorizationContext filterContext) 
    { 
     if (filterContext.HttpContext.Request.IsAuthenticated) 
     { 
      filterContext.Result = new System.Web.Mvc.HttpStatusCodeResult((int)System.Net.HttpStatusCode.Forbidden); 
     } 
     else 
     { 
      base.HandleUnauthorizedRequest(filterContext); 
     } 
    } 
} 

Answer 2

Thật không may, bạn đang xử lý hành vi mặc định của xác thực biểu mẫu ASP.NET. Có một cách giải quyết (Tôi đã không thử nó) thảo luận ở đây:

http://www.codeproject.com/KB/aspnet/Custon401Page.aspx

(Nó không cụ thể cho MVC)

Tôi nghĩ rằng trong hầu hết các trường hợp, các giải pháp tốt nhất là để hạn chế quyền truy cập vào các nguồn tài nguyên trái phép trước khi người dùng cố gắng đến đó. Bằng cách xóa/bôi xám liên kết hoặc nút có thể đưa họ đến trang trái phép này.

Có thể sẽ tốt hơn khi có thông số bổ sung trên thuộc tính để chỉ định nơi chuyển hướng người dùng trái phép. Nhưng trong khi chờ đợi, tôi nhìn vào AuthorizeAttribute như một mạng lưới an toàn.

Answer 3

Tôi luôn nghĩ rằng điều này có ý nghĩa. Nếu bạn đã đăng nhập và bạn cố gắng nhấn một trang yêu cầu vai trò mà bạn không có, bạn sẽ được chuyển tiếp đến màn hình đăng nhập yêu cầu bạn đăng nhập bằng người dùng có vai trò.

Bạn có thể thêm logic vào trang đăng nhập để kiểm tra xem liệu người dùng đã được xác thực hay chưa. Bạn có thể thêm một thông điệp thân thiện giải thích tại sao họ lại bị bẻ cong ở đó một lần nữa.

Answer 4

Thêm phần này vào chức năng Page_Load nhập của bạn:

// User was redirected here because of authorization section 
if (User.Identity != null && User.Identity.IsAuthenticated) 
    Response.Redirect("Unauthorized.aspx"); 

Khi người dùng được chuyển hướng có nhưng đã đăng nhập, nó cho thấy các trang trái phép. Nếu họ không đăng nhập, nó rơi qua và hiển thị trang đăng nhập.

Answer 5

Hãy thử này trong thư mục trong xử lý Application_EndRequest của Global.ascx bạn nộp

if (HttpContext.Current.Response.Status.StartsWith("302") && HttpContext.Current.Request.Url.ToString().Contains("/<restricted_path>/")) 
{ 
    HttpContext.Current.Response.ClearContent(); 
    Response.Redirect("~/AccessDenied.aspx"); 
} 

Answer 6

Nếu bạn sử dụng aspnetcore 2.0, sử dụng này:

using System; 
using Microsoft.AspNetCore.Mvc; 
using Microsoft.AspNetCore.Mvc.Filters; 

namespace Core 
{ 
    [AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, Inherited = true, AllowMultiple = true)] 
    public class AuthorizeApiAttribute : Microsoft.AspNetCore.Authorization.AuthorizeAttribute, IAuthorizationFilter 
    { 
     public void OnAuthorization(AuthorizationFilterContext context) 
     { 
      var user = context.HttpContext.User; 

      if (!user.Identity.IsAuthenticated) 
      { 
       context.Result = new UnauthorizedResult(); 
       return; 
      } 
     } 
    } 
}