首页 / 知识

关于asp.net：绕过表单身份验证自动重定向到登录名，怎么办？

2023-04-13 16:14:00

Bypass Forms Authentication auto redirect to login, How to?

我正在使用部署到iis6的asp.net-mvc编写应用程序。我正在使用表单身份验证。通常，当用户尝试未经适当授权访问资源时，我希望将他们重定向到登录页面。 FormsAuth对我来说很容易做到这一点。

问题：现在我有一个控制台应用程序正在访问的动作。什么是使此操作响应状态401而不是将请求重定向到登录页面的最快方法？

我希望控制台应用程序能够对此401 StatusCode做出反应，而不是透明的。我还想保留默认值，将未经授权的请求重定向到登录页面行为。

注意：作为测试，我将此添加到了global.asax中，它没有绕过表单身份验证：

1
2
3
4

protected void Application_AuthenticateRequest(object sender, EventArgs e)
{
HttpContext.Current.SkipAuthorization = true;
}

@戴尔和安迪

我正在使用MVC预览4中提供的AuthorizeAttributeFilter。这将返回HttpUnauthorizedResult。此结果正确地将statusCode设置为401。据我所知，问题是asp.net正在拦截响应(因为其标记为401)并重定向到登录页面，而不仅仅是让它通过。我想绕过某些网址的拦截。

好吧，我解决了这个问题。我做了一个自定义的ActionResult(HttpForbiddenResult)和自定义的ActionFilter(NoFallBackAuthorize)。

为了避免重定向，HttpForbiddenResult用状态代码403标记响应。FormsAuthentication不会使用该代码捕获响应，因此有效地跳过了登录重定向。 NoFallBackAuthorize过滤器检查用户的授权是否类似于所包含的Authorize过滤器。区别在于访问被拒绝时它返回HttpForbiddenResult。

HttpForbiddenResult非常简单：

1
2
3
4
5
6
7
8
9
10
11

public class HttpForbiddenResult : ActionResult
{
public override void ExecuteResult(ControllerContext context)
{
if (context == null)
{
throw new ArgumentNullException("context");
}
context.HttpContext.Response.StatusCode = 0x193; // 403
}
}

在FormsAuthenticationModule中似乎无法跳过登录页面重定向。

可能有点麻烦(甚至可能无法工作)，但是在您的"登录"页面上查看是否Request.QueryString["ReturnUrl"] != null，如果设置为Response.StatusCode = 401。

请记住，您仍然需要获取控制台应用程序以某种方式进行身份验证。您不会免费获得HTTP基本认证：您必须自己动手做，但是有很多实现。

我还没有使用预览版4中的AuthorizeAttribute。我自己动手了，因为自从第一个CTP开始就一直使用MVC框架。我快速看了一下反射器中的属性，它在内部做我上面提到的事情，除了它们使用401的十六进制等效项。我将需要进一步查找该调用，以了解在何处捕获了异常，因为可能是他们在进行重定向的地方。这是您将需要覆盖的功能。我不确定您是否可以这样做，但是找到后我会回发并给您解决，除非Haacked看到并亲自张贴。

您是否为该操作编写了自己的FormsAuth属性？如果是这样，则可以在OnActionExecuting方法中传递FilterExecutingContext。您可以使用它来传回401代码。

1
2
3
4
5
6
7
8

public class FormsAuth : ActionFilterAttribute
{
public override void OnActionExecuting(FilterExecutingContext filterContext)
{
filterContext.HttpContext.Response.StatusCode = 401;
filterContext.Cancel = true;
}
}

这应该工作。我不确定您是否编写了FormsAuth属性，还是从其他地方获取的。

我做了一些谷歌搜索，这是我想出的：