ошибки пользователей для 401.2 в ASP.NET

Question

Я успешно внедрил авторизацию на основе ролей в ASP.NET. Когда у человека нет необходимой роли, он видит страницу ошибки для 401.2, не авторизованную.

То, что я хотел бы сделать сейчас, - это иметь собственную страницу 401 в моем приложении и перенаправлять ее туда через настройки в web.config. Я попробовал это:

<customErrors mode="RemoteOnly" defaultRedirect="GenericErrorPage.htm">
    <error statusCode="401" redirect="NoAccess.htm" />
</customErrors>

Но это не попасться. Должен ли я переопределить его в IIS? Надеюсь, что нет, так как это усложнит процесс развертывания.

Answer 1

Недавно я столкнулся с той же проблемой, и оказалось, что это одна из странностей при использовании аутентификации Windows.

Джошуа Фланаган недавно создал хороший HttpModule , который учитывает раздел customErrors в вашем web.config и перенаправляет на страницу ошибки 401.

Ключом к решению является перехват события EndRequest жизненного цикла страницы, проверка кода состояния 401, а затем выполнение пользовательской страницы.

Переносимость HttpModule хороша тем, что делает решение многократно используемым и сохраняет ваш Global.asax чистым, но ничто не мешает вам связать событие EndRequest с Global.asax с его кодом, если вы действительно этого хотите.

Если вы используете ASP.NET MVC, решение не так элегантно.

Answer 2

Вот вариант агностики MVC:

В Web.config

<customErrors mode="RemoteOnly" defaultRedirect="GenericErrorPage.htm">
    <error statusCode="401" redirect="NoAccess.htm" />
</customErrors>

В Global.asax.cs

protected void Application_EndRequest(object sender, EventArgs e)
{
    HttpApplication application = (HttpApplication)sender;

    if (application.Response.StatusCode != 401 || !application.Request.IsAuthenticated) return;

    var customErrors = (CustomErrorsSection)ConfigurationManager.GetSection("system.web/customErrors");

    var accessDeniedPath = customErrors.Errors["401"] != null ? customErrors.Errors["401"].Redirect : customErrors.DefaultRedirect;
    if (string.IsNullOrEmpty(accessDeniedPath))
        return; // Let other code handle it (probably IIS).

    application.Response.ClearContent();
    application.Server.Execute(accessDeniedPath);
    HttpContext.Current.Server.ClearError();
}

Answer 3

Если вы не хотите добавлять HttpModule

в web.config

<system.web>
    <customErrors mode="On" defaultRedirect="~/MyController/MyErrorAction/" redirectMode="ResponseRedirect">
      <error statusCode="401" redirect="~/MyController/MyErrorAction/" />
    </customErrors>

в global.asax.cs

    protected void Application_EndRequest(object sender, EventArgs e)
    {
        HttpApplication application = (HttpApplication)sender;

        if (application.Response.StatusCode != 401 || !application.Request.IsAuthenticated) return;

        application.Response.ClearContent();

        //You can replace the piece below is to redirect using MVC, or your can replace all this with application.Server.Execute(yourPage);
        IController errorController = new SharedController();
        var rd = new RouteData();
        rd.Values.Add("controller", "MyController");
        rd.Values.Add("action", "MyErrorAction");
        rd.Values.Add("value", "You or your user group do not have permissions to use the address: " + Request.Url.PathAndQuery);

        errorController.Execute(new RequestContext(new HttpContextWrapper(Context), rd));
        HttpContext.Current.Server.ClearError();
    }

Answer 4

Вот что хорошо сработало для меня.

Global.asax -

    protected void Application_EndRequest(object sender, EventArgs e)
    {
        if (Response.StatusCode == 401 && Request.IsAuthenticated)
        {
            Response.StatusCode = 303;
            Response.Clear();
            Response.Redirect("~/AccessDenied.html");
            Response.End();
        }
    }

Web.config -

  <system.web>
    <customErrors mode="On">
      <error statusCode="401" redirect="AccessDenied.html"/>
    </customErrors>
    <authentication mode="Windows"/>
  </system.web>
  <location path="AccessDenied.html">
    <system.web>
      <authorization>
        <allow roles="*"/>
      </authorization>
    </system.web>
  </location>
  <location path=".">
    <system.web>
      <authorization>
        <allow roles="YourADGroup"/>
        <deny users="*" />
      </authorization>
    </system.web>
  </location>

Это касается двойного 401 перед выпуском 200. Также обходит надоедливое всплывающее окно аутентификации firefox.