WEB API C# 中使用 HttpWebRequest 的基本授权

Question

我已经使用 httpweb 请求查找了有关 web api 中基本授权的所有问题，但都没有解决我的问题。我有一个 web api（用 C# 编写），我想为 api 建立基本授权。我还有一个用来调用 api 的网页。但是，它一直返回“（401）未经授权”，我不知道我做错了什么。现在我在代码中使用用户名和密码，但我希望有一个弹出窗口询问凭据。

这是我的网页代码，调用 api：

string url = String.Format("http://example.com");
HttpWebRequest requestObj = (HttpWebRequest)WebRequest.Create(url);
requestObj.Method = "Get";
requestObj.Credentials = new NetworkCredential("testing", "123456");

HttpWebResponse responseObj = null;
responseObj = (HttpWebResponse)requestObj.GetResponse();
string strresult = null;
using (Stream stream = responseObj.GetResponseStream())
{
    StreamReader sr = new StreamReader(stream);
    strresult = sr.ReadToEnd();
    sr.Close();
}

在我的 api 中，我打开了一个名为 BasicAuthenticationAttribute 的类并写了这个：

public class BasicAuthenticationAttribute : AuthorizationFilterAttribute
{
    public static bool IsAuthorizedUser(string Username, string Password)
    {
        return Username == "testing" && Password == "123456";
    }
    public override void OnAuthorization(HttpActionContext actionContext)
    {
        base.OnAuthorization(actionContext);
        if (actionContext.Request.Headers.Authorization != null)
        {
            var authToken = actionContext.Request.Headers.Authorization.Parameter;
            var decodeauthToken = System.Text.Encoding.UTF8.GetString(Convert.FromBase64String(authToken));
            var arrUserNameandPassword = decodeauthToken.Split(':');
            if (IsAuthorizedUser(arrUserNameandPassword[0], arrUserNameandPassword[1]))
            {
                Thread.CurrentPrincipal = new GenericPrincipal(new GenericIdentity(arrUserNameandPassword[0]), null);
            }
            else
            {
                actionContext.Response = actionContext.Request.CreateResponse(HttpStatusCode.Unauthorized);
            }
        }
        else
        {
            actionContext.Response = actionContext.Request.CreateResponse(HttpStatusCode.Unauthorized);
        }
    }
}

在我的控制器中，我有这个：

 [BasicAuthentication]
 public class EventsController : ApiController
 {
 }

这是我收到的错误： 远程服务器返回错误：(401) Unauthorized.

Answer 1

尝试使用授权类型将凭据添加到凭据缓存，而不是直接使用缓存。

    string url = String.Format("http://example.com");
    CredentialCache credentialCache = new CredentialCache();
    credentialCache.Add(new Uri(url), "Basic", new NetworkCredential("testing", "123456"));
    HttpWebRequest requestObj = (HttpWebRequest)WebRequest.Create(url);
    requestObj.PreAuthenticate = true;
    requestObj.Method = "Get";
    requestObj.Credentials = **credentialCache**;
    HttpWebResponse responseObj = null;
    responseObj = (HttpWebResponse)requestObj.GetResponse();
    string strresult = null;
    using (Stream stream = responseObj.GetResponseStream())
    {
        StreamReader sr = new StreamReader(stream);
        strresult = sr.ReadToEnd();
        sr.Close();
    }

Answer 2

如上述消息中所述，我认为问题在于您没有从身份验证标头中删除“基本”。 https://docs.microsoft.com/en-us/aspnet/web-api/overview/security/basic-authentication

我会怎么做...

string authToken = actionContext.Request.Headers.Authorization.Parameter;
authToken = authToken.Replace("Basic", string.Empty);
var decodeauthToken = System.Text.Encoding.UTF8.GetString(Convert.FromBase64String(authToken));

当你分开时试试这个。关于你的实现中唯一与我多次做过的不同的事情。

var arrUserNameandPassword = decodeauthToken.Split(':'c);