如何将控制器排除在身份验证之外

Question

我已经在我的 asp.net web api 项目中覆盖了 IautheticationFIlter。这是我的课：

public class TokenAuthentication : Attribute, IAuthenticationFilter
{
    private readonly string realm;

    public bool AllowMultiple { get { return false; } }

    public TokenAuthentication(string realm)
    {
        this.realm = "realm=" + realm;
    }

    public Task AuthenticateAsync(HttpAuthenticationContext context, CancellationToken cancellationToken)
    {
        var request = context.Request;

        // Receive token from the client. Here is the example when token is in header:
        var token = request.Headers.GetValues("Token").ElementAt(0);

        ...

        }
        return Task.FromResult(0);
    }


    public Task ChallengeAsync(HttpAuthenticationChallengeContext context, CancellationToken cancellationToken)
    {
        context.Result = new ResultWithChallenge(context.Result, realm);
        return Task.FromResult(0);
    }
}

现在我需要将我的登录控制器排除在身份验证之外：

目前，当我运行我的项目时，如果我放置 [Authorize]、[AllowAnonymous] 或根本没有过滤器，每个请求都会触发此代码。

这里是我添加过滤器的地方：

      public static void RegisterHttpFilters(System.Web.Http.Filters.HttpFilterCollection filters)
    {           
        filters.Add(new TokenAuthentication(""));
    }

Answer 1

我认为，您混淆了身份验证和授权。可能您希望将您的登录控制器排除在授权之外。
[Authorize] 和 [AllowAnonymous] 属性用于授权上下文，与身份验证无关。这就是您的 IAuthenticationFilter 每次都被调用的原因。
这篇文章也很有用http://www.asp.net/web-api/overview/security/authentication-and-authorization-in-aspnet-web-api。