当不支持 HTTP 方法时，Web API 2 不会说未经授权

Question

我刚刚在测试一个新的POST方法，不小心发送了一个未经授权的GET请求，得到的响应是：

"message": "The requested resource does not support http method 'GET'."

但是当我发送一个 POST 请求时，我得到了这个响应：

"message": "Authorization has been denied for this request."

如果我未获得授权甚至未通过身份验证，我不应该收到未经授权的消息吗？

方法如下：

[Route("api/search"), HttpPost, Authorize]
public async Task<IHttpActionResult> Search()
{
   ...
}

我尝试过装饰控制器和带有[Authorize] 属性的方法，并且我还设置了一个全局过滤器。

Answer 1

您收到的GET 的消息完全准确。您没有 GET 修饰操作，因此 The requested resource does not support http method 'GET'。

由于 API 必须首先尝试找到与您的请求签名匹配的方法，因此您对获得未授权的担忧不起作用。因为它找不到GET，所以它返回错误。