Perché AuthenticationManager.SignOut() non riesce quando cambio la risposta?

Question

Ho appena iniziato a trafficare con OWIN/Katana e MVC.NET 5.0. Il Visual Studio 2013 ASP.NET Web Application/MVC template predefinito ha un AccountController con un'azione FantaOFootball():

public ActionResult LogOff() { 
    AuthenticationManager.SignOut(); 
    return RedirectToAction("Index", "Home"); 
} 

Come previsto, questo funziona bene. Tuttavia, quando cambio il codice di stato della risposta, ad es. da:

Response.SetStatus(HttpStatusCode.SeeOther); 

... Il metodo AuthenticationManager.SignOut() non causa più l'utente a diventare disconnesso. Perché?

Ho provato diversi approcci per l'impostazione del codice di stato HTTP per la risposta, oltre a modificare intestazioni HTTP come Posizione e sempre con lo stesso risultato: l'utente non viene disconnesso quando viene eseguita l'azione LogOff(), se Arrivo al temperamento con la risposta.

non provato ad utilizzare RedirectToAction (che implementa in modo esplicito un redirect 302 - questa è un'altra storia), e non restituire un ActionResult, ma che ha fatto alcuna differenza - non che mi piacerebbe davvero aspettavo che.

Utilizzo di Fiddler Posso dire che la risposta come sembra al browser sembra buona, senza sorprese.

Ho anche provato a cercare il codice sorgente del middleware OWIN al lavoro, ma l'architettura non mi è ancora familiare, e non ho trovato risposte che potessi cogliere lì dentro. Ho bisogno del tuo aiuto per risolvere questo problema, quindi grazie in anticipo!

Answer 1

La ragione AuthenticationManager.SignOut() non è che Response.SetStatus(HttpStatusCode.SeeOther) finisce internamente la risposta:

public static void SetStatus(this HttpResponseBase response, int httpStatusCode) 
{ 
    response.StatusCode = httpStatusCode; 
    response.End(); 
} 

(Vedi System.Web.WebPages.ResponseExtensions)

Dopo questo, naturalmente il ResponseManager non può manipolare la risposta a rimuovere i cookie ecc

Answer 2

Questo funziona correttamente con il seguente metodo LogOut, stai facendo qualcosa in modo leggermente diverso?

// 
    // POST: /Account/LogOff 
    [HttpPost] 
    [ValidateAntiForgeryToken] 
    public ActionResult LogOff() 
    { 
     Response.StatusCode = 303; 
     AuthenticationManager.SignOut(); 
     return RedirectToAction("Index", "Home"); 
    }