如何为 AJAX/JSON 请求禁用标准 ASP.NET 处理 401 响应代码（重定向到登录页面）？
对于网页没问题，但对于 AJAX，我需要为登录页面获取正确的 401 错误代码，而不是好看的 302/200。
更新： ASP.NET MVC 的 PM Phil Haack 提供了几种解决方案 - http://haacked.com/archive/2011/10/04/prevent-forms-authentication-login-page-redirect-when-you-donrsquot-want.aspx
【问题讨论】：
标签： asp.net-mvc
在经典的 ASP.NET 中，使用 Ajax 调用 WebMethod 时会收到 401 http 响应代码。我希望他们会在 ASP.NET MVC 的未来版本中对其进行更改。现在我正在使用这个技巧：
protected void Application_EndRequest()
{
if (Context.Response.StatusCode == 302 && Context.Request.Headers["X-Requested-With"] == "XMLHttpRequest")
{
Context.Response.Clear();
Context.Response.StatusCode = 401;
}
}
【讨论】：
开发了 ASP.NET 运行时，以便在 HttpResponse.StatusCode 设置为 401 时始终重定向用户，但前提是找到 Web.config 的 <authentication /> 部分。
删除身份验证部分将要求您在属性中实现对登录页面的重定向，但这应该没什么大不了的。
【讨论】：
我想要表单身份验证并为未通过身份验证的 Ajax 请求返回 401。
最后，我创建了一个自定义 AuthorizeAttribute 并修饰了控制器方法。 （这是在 .Net 4.5 上）
//web.config
<authentication mode="Forms">
</authentication>
//控制器
[Authorize(Roles = "Administrator,User"), Response302to401]
[AcceptVerbs("Get")]
public async Task<JsonResult> GetDocuments()
{
string requestUri = User.Identity.Name.ToLower() + "/document";
RequestKeyHttpClient<IEnumerable<DocumentModel>, string> client =
new RequestKeyHttpClient<IEnumerable<DocumentModel>, string>(requestUri);
var documents = await client.GetManyAsync<IEnumerable<DocumentModel>>();
return Json(documents, JsonRequestBehavior.AllowGet);
}
//授权属性
public class Response302to401 : AuthorizeAttribute
{
protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
{
if (!filterContext.HttpContext.User.Identity.IsAuthenticated)
{
if (filterContext.HttpContext.Request.IsAjaxRequest())
{
filterContext.Result = new JsonResult
{
Data = new { Message = "Your session has died a terrible and gruesome death" },
JsonRequestBehavior = JsonRequestBehavior.AllowGet
};
filterContext.HttpContext.Response.StatusCode = 401;
filterContext.HttpContext.Response.StatusDescription = "Humans and robots must authenticate";
filterContext.HttpContext.Response.SuppressFormsAuthenticationRedirect = true;
}
}
//base.HandleUnauthorizedRequest(filterContext);
}
}
【讨论】：
您也可以使用 Global.asax 来中断这个过程，如下所示：
protected void Application_PreSendRequestHeaders(object sender, EventArgs e) {
if (Response.StatusCode == 401) {
Response.Clear();
Response.Redirect(Response.ApplyAppPathModifier("~/Login.aspx"));
return;
}
}
【讨论】：
我看不出我们必须像当前答案所说的那样修改身份验证模式或身份验证标签。
按照@TimothyLeeRussell 的想法（顺便感谢一下），我创建了一个自定义的 Authorize 属性（@TimothyLeeRussell 的一个问题是抛出异常，因为他试图更改 filterContext.Result 并生成一个HttpException，并删除该部分，除了 filterContext.HttpContext.Response.StatusCode = 401，响应代码始终为 200 OK）。所以我最终通过在更改后结束响应来解决问题。
[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method)]
public class BetterAuthorize : AuthorizeAttribute
{
protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
{
if (filterContext.HttpContext.Request.IsAjaxRequest())
{
//Set the response status code to 500
filterContext.HttpContext.Response.StatusCode = (int)HttpStatusCode.Unauthorized;
filterContext.HttpContext.Response.StatusDescription = "Humans and robots must authenticate";
filterContext.HttpContext.Response.SuppressFormsAuthenticationRedirect = true;
filterContext.HttpContext.Response.End();
}
else
base.HandleUnauthorizedRequest(filterContext);
}
}
【讨论】：
您可以在您的操作中调用此方法，
HttpContext.Response.End();
例子
public async Task<JsonResult> Return401()
{
HttpContext.Response.StatusCode = (int)HttpStatusCode.Unauthorized;
HttpContext.Response.End();
return Json("Unauthorized", JsonRequestBehavior.AllowGet);
}
来自MSDN：End 方法导致 Web 服务器停止处理脚本并返回当前结果。文件的剩余内容未处理。
【讨论】：
您可以选择创建一个自定义的FilterAttribute 来实现IAuthorizationFilter 接口。
在此属性中，您添加逻辑以确定请求是否应该返回 JSON。如果是这样，您可以在用户未登录的情况下返回一个空的 JSON 结果（或做任何您喜欢的事情）。对于其他响应，您只需像往常一样重定向用户。
更好的是，您可以重写 AuthorizeAttribute 类的 OnAuthorization，这样您就不必重新发明轮子。添加我上面提到的逻辑，如果filterContext.Cancel 为真则拦截（filterContext.Result 将设置为HttpUnauthorizedResult 类的实例。
在 Phil Haacks 博客上阅读有关 "Filters in ASP.NET MVC CodePlex Preview 4" 的更多信息。它也适用于最新的预览版。
【讨论】：