ASP.NET MVC user-friendly 401 error

Question

Ho implementato la gestione degli errori nel sito ASP.NET MVC in a way like suggests this post.

Con 404 errori tutto funziona correttamente. Ma come visualizzare correttamente la schermata user friendly per un errore ? Solitamente non generano eccezioni che possono essere gestite all'interno di Application_Error(), ma l'azione restituisce HttpUnauthorizedResult. Un modo possibile è aggiungere seguente codice alla fine del metodo Application_EndRequest()

if (Context.Response.StatusCode == 401) 
{ 
    throw new HttpException(401, "You are not authorised"); 
    // or UserFriendlyErrorRedirect(new HttpException(401, "You are not authorised")), witout exception 
} 

Ma dentro Application_EndRequest() Context.Session == null, errorController.Execute() riesce perché non è possibile utilizzare TempDataProvider predefinito.

// Call target Controller and pass the routeData. 
    IController errorController = new ErrorController(); 
    errorController.Execute(new RequestContext( 
     new HttpContextWrapper(Context), routeData)); // Additional information: The SessionStateTempDataProvider requires SessionState to be enabled. 

Quindi, puoi suggerire alcune best practice su come "gestire l'utente '401 nell'applicazione ASP.NET MVC?

Grazie.

Answer 1

Consultare HandleErrorAttribute. Sottoclassi da esso o aggiungi la tua implementazione che gestirà tutti i codici di stato che ti interessano. Puoi farlo per restituire una vista di errore separata per ogni tipo di errore.

Ecco un'idea di come creare il filtro dell'eccezione degli errori di handle. Ho buttato via la maggior parte delle cose per concentrarmi solo sui nostri elementi essenziali. Assolutamente dare un'occhiata all'implementazione originale per aggiungere assegni di argomenti e altre cose importanti.

public class HandleManyErrorsAttribute : FilterAttribute, IExceptionFilter 
{ 
    public virtual void OnException(ExceptionContext filterContext) 
    { 
     if (filterContext.ExceptionHandled || !filterContext.HttpContext.IsCustomErrorEnabled) 
      return; 

     Exception exception = filterContext.Exception; 

     string viewName = string.Empty; 
     object viewModel = null; 
     int httpCode = new HttpException(null, exception).GetHttpCode(); 
     if (httpCode == 500) 
     { 
      viewName = "Error500View"; 
      viewModel = new Error500Model(); 
     } 
     else if (httpCode == 404) 
     { 
      viewName = "Error404View"; 
      viewModel = new Error404Model(); 
     } 
     else if (httpCode == 401) 
     { 
      viewName = "Error401View"; 
      viewModel = new Error401Model(); 
     } 

     string controllerName = (string)filterContext.RouteData.Values["controller"]; 
     string actionName = (string)filterContext.RouteData.Values["action"]; 
     filterContext.Result = new ViewResult 
     { 
      ViewName = viewName, 
      MasterName = Master, 
      ViewData = viewModel, 
      TempData = filterContext.Controller.TempData 
     }; 
     filterContext.ExceptionHandled = true; 
     filterContext.HttpContext.Response.Clear(); 
     filterContext.HttpContext.Response.StatusCode = httpCode; 

     filterContext.HttpContext.Response.TrySkipIisCustomErrors = true; 
    } 
} 

Poi si "decorare" le vostre azioni di controllo con questo attributo:

[HandleManyErrors] 
public ActionResult DoSomethingBuggy() 
{ 
    // ... 
} 

Answer 2

Se stai usando ASP.NET MVC, è molto più che probabile di utilizzare IIS, quindi perché don' t hai appena configurato IIS per utilizzare la pagina di errore 401 personalizzata per tale applicazione Web/directory virtuale?

Answer 3

Sono riuscito a risolvere questo in un modo molto semplice. Volevo mostrare una pagina personalizzata per gli utenti loggati ("non hai il permesso bla bla ...") e reindirizzare gli utenti non autenticati alla pagina di accesso (il comportamento predefinito). Così ho implementato un personalizzato AuthorizeAttribute (diciamo CustomAuthorizeAttribute) con il metodo HandleUnauthorizedRequest sovrascritto in modo che, se l'utente è autenticato ho impostato la proprietà Risultato dell'argomento filterContext con un ViewResult (nella cartella condivisa) chiamata AccessDenied.aspx

protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext) 
{ 
    if (!filterContext.HttpContext.User.Identity.IsAuthenticated) 
    { 
     base.HandleUnauthorizedRequest(filterContext); 
    } 
    else 
    { 
     filterContext.Result = new ViewResult { ViewName = "AccessDenied" }; 
    } 
} 

Quindi è necessario utilizzare questo nuovo attributo. Saluti.

Answer 4

In uno dei miei progetti, utilizzo il codice da uvita.

ho ASP.NET MVC2 e io uso autenticazione di Active Directory senza pagina di login. Ho una pagina NoAuth.aspx che utilizza la pagina principale del sito, integrare il layout dell'applicazione Web.

Questo è il web.config.

<system.web> 
    <authentication mode="Windows" /> 
    <roleManager enabled="true" defaultProvider="AspNetWindowsTokenRoleProvider"> 
     <providers> 
      <clear /> 
      <add name="AspNetWindowsTokenRoleProvider" type="System.Web.Security.WindowsTokenRoleProvider" 
      applicationName="/" /> 
     </providers> 
    </roleManager> 
</system.web> 

La nuova classe CustomAutorizeAttribute

using System.Web.Mvc; 
public class CustomAuthorizeAttribute : AuthorizeAttribute 
{ 
    protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext) 
    { 
     if (!filterContext.HttpContext.User.Identity.IsAuthenticated) 
     { 
      base.HandleUnauthorizedRequest(filterContext); 
     } 
     else 
     { 
      filterContext.Result = new ViewResult { ViewName = "NoAuth"}; 
     } 
    } 
} 

e il controller

[CustomAuthorize(Roles = "ADRole")] 
public class HomeController : Controller 
{ 
    public HomeController() 
    { 
    } 
}