如果 URL 有查询字符串，AuthorizeAttribute 不起作用？

Question

在 ASP.NET MVC3 Web 应用程序中，整个控制器都附加了一个 [Authorize] 属性。因此，如果用户未登录或会话过期，他们将被重定向到登录页面。这是工作......有时。下面“作品”列表中的 URL 正确重定向到登录页面； “不起作用”列表中的 URL 改为显示 IIS 401 错误屏幕 - 它们不会重定向到登录页面。

作品

• http://x.y.z/MyController/MyAction
• http://x.y.z/MyController/MyAction/123
• http://x.y.z/MyController/MyAction/123?X=Y

不起作用

• http://x.y.z/MyController/MyAction/123?ReturnUrl=
• http://x.y.z/MyController/MyAction/123?ReturnUrl=XYZ

MyAction 操作的模型在其基类中有一个public string ReturnUrl { get; set; }。它还具有其他属性，但将这些属性添加到查询字符串不会影响登录重定向。好像只有 ReturnUrl 参数。

我不确定还有什么要调查的。任何想法为什么 ReturnUrl 参数会造​​成麻烦？

路线

routes.MapRoute("Default-Title-ID", "{Controller}/{Action}/{Title}_{ID}", namespaces);
routes.MapRoute("Default-ID", "{Controller}/{Action}/{ID}", namespaces);
routes.MapRoute("Default", "{Controller}/{Action}", new { Controller = "Home", Action = "Index" }, namespaces);
routes.MapPageRoute("Reports-View", "ViewReport_{ID}", "~/Views/Reports/View.aspx");

工作示例（嗯，不工作，但说明了问题。）

在此处下载解决方案：https://docs.google.com/file/d/0B4o6vqgNLpvbeVo4bVdKZWFMcEE/edit?usp=sharing

然后尝试访问：

• http://your.local.host/Test/TestMe?ReturnUrl= - 您将不会被重定向到登录页面。
• http://your.local.host/Test/TestMe - 您将被重定向到登录页面。

Answer 1

我想将此作为评论发布，但我太长了。我需要为我的一个应用程序动态重定向，并使用以下解决方案（它使用调用它的控制器而不是 web.config 中的静态 URL）。使用您的示例对此进行测试时，它可以解决问题。但我不知道为什么。也许它会引导你走向正确的道路，或者其他人可以澄清。

using System.Web.Mvc;
using System.Web.Routing;

namespace MvcApplication1.App_Start
{
    public class LoginRequiredAttribute : AuthorizeAttribute
    {
        public override void OnAuthorization(AuthorizationContext filterContext)
        {
            base.OnAuthorization(filterContext);

            if (filterContext.Result is HttpUnauthorizedResult)
            {
                filterContext.Result = new RedirectToRouteResult(new RouteValueDictionary 
                {
                    { "controller", filterContext.RouteData.Values[ "controller" ] },
                    { "action", "Login" },
                    { "ReturnUrl", filterContext.HttpContext.Request.RawUrl }
                });
            }
        }
    }
} 

然后只需更改操作以使用新属性：

[LoginRequired]
public ActionResult TestMe()