.NET 核心在缺少 cookie 时返回 500 而不是 401

Question

我有一个使用 cookie 身份验证的 .NET 核心 API。它由具有自己的登录路径的 PWA/SPA 访问。

在Startup.cs:

public void ConfigureServices(IServiceCollection services)
{
...
    services.AddIdentity<MyUser, MyRole>(options =>
    {
        ...

        // Use cookie authentication
        var expiresIn = new TimeSpan(1, 0, 0); // 1 hour timeout
        var c = options.Cookies.ApplicationCookie;
        c.AuthenticationScheme = "appSchemeName";
        c.CookieName = "appCookieName";
        c.AutomaticAuthenticate = true;

        // If this is true auth failures become redirects
        c.AutomaticChallenge = false;
        c.SlidingExpiration = true;
        c.ExpireTimeSpan = expiresIn;

        // Store sessions in the cache with the same TTL as the cookie
        c.SessionStore = new MyRedisSessionStore(expiresIn);
    });
    ...
}

public void Configure(...) 
{
    ...
    app.UseIdentity();
    ...
    app.UseMvc();
}

在我的客户端 JS 中，当身份验证 cookie 无效或丢失时，我希望出现 401，并在这种情况下显示登录表单。

但是，当没有有效 cookie 的用户访问标有 [Authorize] 的控制器时，他们会收到 500 状态错误：

InvalidOperationException：没有配置身份验证处理程序来处理方案：自动

如果我更改 c.AutomaticChallenge = true;，那么我会收到一个 302 重定向到 {site}/Account/Login?ReturnUrl={api resource it was trying to load}。这很奇怪，因为那不是有效的路线，而且我没有设置它。

如何解决此问题，以便未经身份验证的用户在服务器上获得 401 而不是 500 异常。

我意识到我可以覆盖它并使用自定义响应编写自己的身份验证，但必须有办法让内置的 [Authorize] 返回正确的 HTTP 状态代码。

Answer 1

我对此有一个修复，因为我有可以工作的代码，但这太可怕了，不可能是处理这个问题的最佳方法。

我当前的代码给我一个 500 服务器错误（AutomaticChallenge = false 时）或 302 重定向（AutomaticChallenge = true 时）。两者在我的 SPA 中都没用，因为 500 太通用了，302 透明地重定向到不存在的页面，我在客户端 JS 中得到 404。

我的解决方法是使用 302，然后覆盖 Response：

// Make ASP.NET give us the 302 redirect when cookie is missing/broke
c.AutomaticChallenge = true;

c.Events = new CookieAuthenticationEvents
{
    // Override the 302 redirection with the 401 we actually want 
    OnRedirectToLogin = context =>
    {
        context.Response.StatusCode = 401;
        return Task.FromResult(0); ;
    }
};

这行得通，因此它可以回答这个问题，但它是对中间件的一种可怕的破解，它的行为不符合我的要求。

Answer 2

我在使用 Postman 测试端点时遇到了这个确切的问题。

如果您查看source code 的OnRedirectToLogin 事件，您可以看到它正在检查请求是否为AJAX 请求。要使IsAjaxRequest 返回true，X-Requested-With 标头需要具有XMLHttpRequest 作为它的值。

如果您碰巧使用 Postman 进行测试，则必须手动应用 X-Requested-With 以及正确的值：

最后，如果您没有其他需要设置的特殊配置，您的CookieAuthenticationOptions 应该是这样的：

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    AutomaticAuthenticate = true,
    AutomaticChallenge = true
});