将 SPA 中的 cookie 身份验证升级到 .NET Core 2.0

Question

我有一个想要升级到 .NET Core 2.0 Web API 的 SPA

开箱即用的 .NET Core 对 SPA 的 cookie 身份验证非常差，因为所有中间件都假定您要重定向到 /Account/Login。

在单页应用程序中，身份验证重定向是无用的（没有登录页面）——相反，我需要一个 401 响应，告诉客户端 JS 要求用户登录。

要在 .NET Core 1.1 中解决此问题，我必须允许 AutomaticChallenge 触发然后覆盖事件...

services.AddIdentity<AppUser, AppRole>(options =>
{
    var c = options.Cookies.ApplicationCookie;
    c.AuthenticationScheme = "MyScheme";
    c.CookieName = "MyCookieName";
    c.AutomaticAuthenticate = true;

    // This is a total cludge: AutomaticChallenge causes something deep in .NET to auto respond with a 302 redirect to ~/account/login
    c.AutomaticChallenge = true;
    c.LoginPath = PathString.Empty; // LoginPath defaults to ~/account/login
    c.Events = new CookieAuthenticationEvents
    {
         // Override the 302 redirection with the 401 we actually want 
         OnRedirectToLogin = context =>
         {
             context.Response.StatusCode = (int) HttpStatusCode.Unauthorized;
             return Task.FromResult(0);
         }
     };
})

这是一团糟，但它奏效了。在 .NET Core 2.0 中它已被弃用。

我已尝试将其移至 services.ConfigureApplicationCookie，但在配置 cookie 名称和其他属性时，CookieAuthenticationEvents.OnRedirectToLogin 将被忽略。

我已尝试按照建议的in the official docs 将其移至services.AddAuthentication(...).AddCookie()，但这些设置被忽略了。 services.Configure<CookieAuthenticationOptions> 的行为方式相同。

如何设置 .NET Core 2.0 Web API，以便在请求没有有效的身份验证 cookie 时返回 HTTP 401 状态？

Answer 1

在 Authentication 2.0 堆栈中，应用程序 cookie 的配置不再是 identityOptions 的一部分。请看Auth 2.0 Changes

services.ConfigureApplicationCookie(o =>
        {
            o.Events = new CookieAuthenticationEvents()
            {
                OnRedirectToLogin = (ctx) =>
                {
                    if (ctx.Request.Path.StartsWithSegments("/api") && ctx.Response.StatusCode == 200)
                    {
                        ctx.Response.StatusCode = 401;
                    }

                    return Task.CompletedTask;
                },
                OnRedirectToAccessDenied = (ctx) =>
                {
                    if (ctx.Request.Path.StartsWithSegments("/api") && ctx.Response.StatusCode == 200)
                    {
                        ctx.Response.StatusCode = 403;
                    }

                    return Task.CompletedTask;
                }
            };
        });