ASP.Net / ASP.NET Core Web API 未经授权的请求返回 302 重定向响应而不是 401

Question

在 ASP.Net/ASP.Net Core WebAPI 中，

当客户端/浏览器尝试访问带有 [Authorized] 属性的 WebAPI 端点时。它会获得一个 302-Found 状态码，其中包含对登录页面的重定向响应，而不是针对未经授权的请求的 401-Unauthorized。

注意：我注意到 AuthorizeAttribute 过滤器中的 Fail(AuthorizationContext context) 方法将响应代码设置为 401-Unauthorized，但最终浏览器获取302-Found 回复。

如何发送 401 响应而不是 302 ？

更新：使用 ASP.NET Core 更新问题

Answer 1

终于找到解决办法了。

重定向发生在 Cookie 身份验证 模块中。默认情况下，其LoginPath 属性设置为/Account/Login。如果设置为PathString.Empty，则保持状态码为401-Unauthorized，不改为302-Found。

在Startup.cs中更改CookieAuthenticationOptions如下：

public void ConfigureServices(IServiceCollection services)
{
    // Other configurations ...

    services.Configure<CookieAuthenticationOptions>(o =>
    {
        o.LoginPath = PathString.Empty;
    });

    // ...
}

LoginPath 属性的 XML 文档：

LoginPath 属性通知中间件它应该更改传出的 401 Unauthorized 状态 将代码转换为 302 重定向到给定的登录路径。添加生成 401 的当前 url 到 LoginPath 作为由 ReturnUrlParameter 命名的查询字符串参数。一旦请求 LoginPath 授予新的 SignIn 身份，ReturnUrlParameter 值用于将浏览器重定向回来 到导致原始未授权状态码的url。

如果 LoginPath 为 null 或为空，中间件不会查找 401 Unauthorized 状态码，它会 登录时不会自动重定向。

---

更新： 正如@swdon 指出的那样，ASP.NET Core 2.x 有不同的方式来做到这一点。

这是link 1 接受的答案：

从 ASP.NET Core 2.x 开始：

services.ConfigureApplicationCookie(options =>
{
    options.Events.OnRedirectToLogin = context =>
    {
        context.Response.StatusCode = 401;    
        return Task.CompletedTask;
    };
});