MVC Authorize Attribute + HttpUnauthorizedResult + FormsAuthentication

Question

Después de examinar la sección MVC en CodePlex noté que el atributo [Authorize] en MVC devuelve un HttpUnauthorizedResult() cuando la autorización falla (codeplex AuthorizeAttribute class).

En la fuente de HttpUnauthorizedResult() de CodePlex es el código (no puedo ingresar otra URL porque mi representante no es lo suficientemente alto, pero reemplace los números en la URL anterior con 22929 # 266476):

// 401 is the HTTP status code for unauthorized access - setting this 
// will cause the active authentication module to execute its default 
// unauthorized handler 
context.HttpContext.Response.StatusCode = 401; 

En particular, el comentario describe el controlador desautorizado predeterminado del módulo de autenticación.

No puedo encontrar ninguna información sobre este controlador no autorizado predeterminado. En particular, no estoy usando FormsAuthentication y cuando la autorización falla recibo una fea página de error IIS 401.

¿Alguien sabe acerca de este manejador no autorizado predeterminado y, en particular, cómo FormsAuthentication se engancha para anularlo?

Estoy escribiendo una aplicación muy simple para mi equipo de fútbol que confirma o niega si pueden jugar un partido en particular. Si habilito FormsAuthentication en el web.config, el redireccionamiento funciona, pero no estoy usando FormsAuthentication y me gustaría saber si hay una solución.

Answer 1

Si tiene Reflector, eche un vistazo a System.Web.Security.FormsAuthenticationModule.Init(). Este método enlaza Application_EndRequest y llama a OnLeave(). El método OnLeave() comprueba que el código de respuesta sea HTTP 401. Si es así, el módulo realiza una redirección en lugar de burbujear el 401 hasta el cliente. (Esta lógica es a lo que el comentario se refiere como el "manejador no autorizado predeterminado"). En su caso particular, ASP.NET está dejando que el 401 salte al cliente, pero IIS lo está interceptando y mostrando una página de error fea.

Puede hacer algo muy similar desde Global.asax. Cree un método Application_EndRequest; este método se llamará al final de cada solicitud atendida por su aplicación. Desde aquí, puedes hacer lo que quieras. Si desea verificar si la respuesta es un 401 y redirigirlos a una página diferente, puede hacerlo desde aquí.