响应代码 401 在 jquery ajax 错误处理程序之前触发基本身份验证

Question

我有一个场景，我必须使用“表单身份验证”处理 ajax 请求的身份验证。根据我之前的 stackoverflow 帖子的一些搜索和帮助，我决定使用here 中描述的方法。

这个想法是为未经身份验证的请求发回 401 响应，然后在 AJAX 错误处理程序中处理它。所以我在我的 ASP.net MVC3 布局页面中有一个 AJAX 错误处理程序，当它收到未经身份验证的 ajax 请求的 401 响应时，它会将浏览器重定向到登录页面。这是 ajax 错误处理程序。

$(document).ajaxError(function (event, jqXHR, ajaxSettings, thrownError) {
    if (jqXHR.status == "401") {
        window.location.replace(loginUrl);
    }
    ....
});

这在我的本地 IIS 7.5 服务器上运行良好。但不幸的是，在托管我的网站的服务器上，在 AJAX 错误处理程序运行并将浏览器重定向到登录页面之前，我会在未经身份验证的 ajax 请求（例如会话超时）上收到基本身份验证弹出窗口。当我通过按取消按钮取消“需要身份验证”弹出窗口时，AJAX 错误处理程序然后运行，我被重定向到登录页面。

那么，为什么浏览器会在运行 AJAX 错误处理程序之前显示身份验证弹出窗口？

编辑：托管服务器正在运行 IIS 6。

Answer 1

对我来说这很简单。大多数具有匿名身份验证的 IIS 网站还启用了默认的 Windows 身份验证

关闭 Windows 身份验证，当站点检测到 401 时，即使来自 ajax 调用也会弹出登录屏幕。

<security> <authentication> <anonymousAuthentication enabled="true" /> <windowsAuthentication enabled="false" /> </authentication> </security>

Answer 2

正如Softlion所说的

这是一个很容易回答的常见问题。 .net授权模块将401转换为登录>页面的302。浏览器永远不会看到 401，只有 302。

如果您使用的是 .net 4 及更高版本，请使用以下代码

HttpContext.Response.SuppressFormsAuthenticationRedirect = true;

这对我来说很好。

Answer 3

解决方案here 是编写一个自定义 HttpModule 来解决 MVC 框架的默认行为。一旦我终于能够注册模块 (cheers David Ebbo)，它就对我有用。您可能想选择自己的呼叫标准SuppressAuthenticationRedirect。

public class SuppressFormsAuthenticationRedirectModule : IHttpModule {
  private static readonly object SuppressAuthenticationKey = new Object();

  public static void SuppressAuthenticationRedirect(HttpContext context) {
    context.Items[SuppressAuthenticationKey] = true;
  }

  public static void SuppressAuthenticationRedirect(HttpContextBase context) {
    context.Items[SuppressAuthenticationKey] = true;
  }

  public void Init(HttpApplication context) {
    context.PostReleaseRequestState += OnPostReleaseRequestState;
    context.EndRequest += OnEndRequest;
  }

  private void OnPostReleaseRequestState(object source, EventArgs args) {
    var context = (HttpApplication)source;
    var response = context.Response;
    var request = context.Request;

    if (response.StatusCode == 401 && request.Headers["X-Requested-With"] == 
      "XMLHttpRequest") {
      SuppressAuthenticationRedirect(context.Context);
    }
  }

  private void OnEndRequest(object source, EventArgs args) {
    var context = (HttpApplication)source;
    var response = context.Response;

    if (context.Context.Items.Contains(SuppressAuthenticationKey)) {
      response.TrySkipIisCustomErrors = true;
      response.ClearContent();
      response.StatusCode = 401;
      response.RedirectLocation = null;
    }
  }

  public void Dispose() {
  }

  public static void Register() {
    DynamicModuleUtility.RegisterModule(
      typeof(SuppressFormsAuthenticationRedirectModule));
  }
}

Answer 4

等等！我以为你说的是​​ Ajax 请求，你怎么能得到一个关于 ajax 请求的弹出窗口？我很确定您甚至在 AJAX 调用之前在其他地方触发了对 URL 的调用。从您的场景证明，当您取消弹出窗口时，您的实际 ajax 请求正在发出，因此您可以进行 ajax 重定向。

这个想法是为未经身份验证的请求发回 401 响应，然后在 AJAX 错误处理程序中处理它

只有发送 ajax 请求才能得到 ajax 响应，如果发送正常的 http 请求，则会得到一个弹出窗口。这与 .Net 或 Java 无关 :)

Answer 5

这是一个很容易回答的常见问题。 .net 授权模块将 401 转换为登录页面的 302。浏览器永远不会看到 401，只有 302。

当然，这不能很好地与 ajax 调用配合使用。

我尝试过并且目前正在使用的最佳解决方案是编写一个捕获 401 的新属性并将其转换为由 jquery ajax 处理程序捕获的 ... 409。

它是付费产品的一部分，所以我不能提供任何代码。

Answer 6

.net 不会捕获 401 错误。我所做的是将 IIS 错误页面从默认的 401 页面设置为我自己的静态 401 页面。从那个页面我使用 javascript 重定向到另一个处理程序。

Answer 7

IIS 6 处于集成模式？我不相信有任何这样的事情，除非你在谈论集成身份验证。

我的猜测是您使用的是非 aspx 扩展，因此在 IIS6 上，这意味着它甚至没有访问 .net 进程。所以，IIS 正在使用它自己的 401 错误响应页面。

可能的解决方案是强制所有请求由 .net 进程处理。

您的主机必须进入 IIS 属性 > 配置 > 通配符映射 - 并将所有内容映射到 .net 进程。

Answer 8

尝试从响应中删除 WWW-Authenticate 标头。