带有 OWIN 中间件和基于令牌的身份验证的 WebAPI 2：OPTIONS 请求返回“unsupported_grant_type”错误

Question

WEBAPI 为认证请求提供端点：http:\...\token

身份验证请求应使用方法“POST”和 Body like 发送

"grant_type=password&username=name&password=mypassword"

此 WebAPI 由使用 AngularJS 编写的前端使用。 有时在发送带有有效正文的“POST”请求之前，会发送一个没有正文的“OPTIONS”请求。 结果WebAPI返回以下错误：

Status: 400
{"error":"unsupported_grant_type"}

有没有可以在服务器端实现的解决方案？ （在 WebAPI 中）

HTTP 请求方法：选项

Request Header:
Accept:*/*
Accept-Encoding:gzip,deflate,sdch
Accept-Language:en-US,en;q=0.8,de;q=0.6,ru;q=0.4,uk;q=0.2
Access-Control-Request-Headers:accept, authorization, content-type
Access-Control-Request-Method:POST
Cache-Control:no-cache
Host:...
Origin:...
Pragma:no-cache
Proxy-Connection:keep-alive
Referer:...
User-Agent:Mozilla/5.0 (Windows NT 6.3; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/37.0.2062.120 Safari/537.36

Response Header:
Cache-Control: no-cache
Pragma: no-cache
Content-Length: 34
Content-Type: application/json;charset=UTF-8
Expires: -1
Server: Microsoft-IIS/7.5
Access-Control-Allow-Origin: *
X-Powered-By: ASP.NET
Date: Thu, 11 Sep 2014 18:05:09 GMT

Answer 1

我刚刚遇到了同样的问题..我正在使用 ember 和 ember-simple-auth。对 /token 端点的任何预检请求 OPTIONS 都会导致 400 HTTP 响应，并且正文具有众所周知的：{error: "unsuported_grant_type"}。

解决方案：

我继承自：OAuthAuthorizationServerProvider 并覆盖 MatchEndpoint 函数：

public override Task MatchEndpoint(OAuthMatchEndpointContext context)
    {
        if (context.OwinContext.Request.Method == "OPTIONS" && context.IsTokenEndpoint)
        {
            context.OwinContext.Response.Headers.Add("Access-Control-Allow-Methods", new[] {"POST"});
            context.OwinContext.Response.Headers.Add("Access-Control-Allow-Headers", new[] { "accept", "authorization", "content-type" });
            context.OwinContext.Response.Headers.Add("Access-Control-Allow-Origin", new[] { "*" });
            context.OwinContext.Response.StatusCode = 200;
            context.RequestCompleted();

            return Task.FromResult<object>(null);
        }

        return base.MatchEndpoint(context);        }

这似乎解决了它。希望对您有所帮助。

Answer 2

当我忘记将Content-Type: application/x-www-form-urlencoded 添加到请求标头时，我遇到了同样的错误。

Answer 3

我试图用 Fiddler 测试我的 api，但没有在请求正文部分以正确的格式提供数据。确保将其添加为以“&”分隔的键值列表。

grant_type=password&username=testUsername&password=testPassword

Answer 4

在这种情况下，OPTIONS 是 CORS 预检请求。发送它是为了确定实际请求 (POST) 是否可以安全发送。如果使用 GET、HEAD 或 POST 以外的方法或设置自定义标头，则会预检跨站点请求。

为了避免 400 HTTP 响应，在您的 Startup 类中，您应该使用 UseCors 扩展方法为 OWIN 中间件启用 CORS 并定义您的自定义 System.Web.Cors.CorsPolicy。

using Microsoft.Owin.Cors;
using Microsoft.Owin.Security.OAuth;
using Owin;

namespace AuthorizationServer
{
    public partial class Startup
    {
        public void ConfigureAuth(IAppBuilder app)
        {
            app.UseCors(CorsOptions.AllowAll);

            app.UseOAuthAuthorizationServer(new OAuthAuthorizationServerOptions()
            {     

            });
        }
    }
}