ASP.NET Web API : 401 / 무단 응답을 반환하는 올바른 방법

OAuth / 토큰 인증을 사용하여 요청을 인증하는 MVC 웹 API 사이트가 있습니다. 모든 관련 컨트롤러에 올바른 속성이 있으며 인증이 정상적으로 작동합니다.

문제는 모든 요청이 속성 범위에서 승인 될 수있는 것은 아니라는 것입니다. 일부 승인 검사는 컨트롤러 메소드에 의해 호출되는 코드에서 수행되어야합니다.이 경우 401 승인되지 않은 응답을 리턴하는 올바른 방법은 무엇입니까?

나는 시도 throw new HttpException(401, "Unauthorized access");했지만 이것을 할 때 응답 상태 코드는 500이고 스택 추적도 얻습니다. 로깅 DelegatingHandler에서도 응답이 401이 아니라 500임을 알 수 있습니다.

다음이 HttpResponseException아닌 API 메서드에서 던져야합니다 HttpException.

throw new HttpResponseException(HttpStatusCode.Unauthorized);

또는 사용자 지정 메시지를 제공하려는 경우 :

var msg = new HttpResponseMessage(HttpStatusCode.Unauthorized) { ReasonPhrase = "Oops!!!" };
throw new HttpResponseException(msg);

다음을 반환하십시오.

return Unauthorized();

다른 답변의 대안으로 IActionResultASP.NET 컨트롤러 내에서 를 반환하려는 경우이 코드를 사용할 수도 있습니다 .

ASP.NET

 return Content(HttpStatusCode.Unauthorized, "My error message");

업데이트 : ASP.NET Core

위 코드는 ASP.NET Core에서 작동하지 않으므로 대신 다음 중 하나를 사용할 수 있습니다.

 return StatusCode((int)System.Net.HttpStatusCode.Unauthorized, "My error message");
 return StatusCode(401, "My error message");

분명히 이유 문구는 매우 선택 사항입니다 ( HTTP 응답이 Reason-Phrase을 생략 할 수 있습니까? )

HttpException일종의 서버 오류를 나타내는 예외 ( )를 던지기 때문에 500 응답 코드 가 표시됩니다. 이것은 잘못된 접근 방식입니다.

응답 상태 코드를 설정하십시오.

Response.StatusCode = (int)HttpStatusCode.Unauthorized;

ASP.NET Core> = 1.0의 기존 답변에 추가하려면 다음을 수행 할 수 있습니다.

return Unauthorized();

return Unauthorized(object value);

클라이언트에 정보를 전달하려면 다음과 같이 호출 할 수 있습니다.

return Unauthorized(new { Ok = false, Code = Constants.INVALID_CREDENTIALS, ...});

401 응답 외에 클라이언트에서도 전달 된 데이터가 있습니다. 예를 들어 대부분의 클라이언트 await response.json()에서 얻을 수 있습니다.

.Net Core에서 사용할 수 있습니다.

return new ForbidResult();

대신에

return Unauthorized();

이는 곧바로 401을 제공하지 않고 기본 무단 페이지 (Account / AccessDenied)로 리디렉션하는 이점이 있습니다.

기본 위치를 변경하려면 startup.cs를 수정하십시오.

services.AddAuthentication(options =>...)
            .AddOpenIdConnect(options =>...)
            .AddCookie(options =>
            {
                options.AccessDeniedPath = "/path/unauthorized";

            })

asp.net core 2.0에서 다음 코드를 사용할 수 있습니다.

public IActionResult index()
{
     return new ContentResult() { Content = "My error message", StatusCode = (int)HttpStatusCode.Unauthorized };
}

또한 다음 코드를 따릅니다.

var response = new HttpResponseMessage(HttpStatusCode.NotFound)
{
      Content = new StringContent("Users doesn't exist", System.Text.Encoding.UTF8, "text/plain"),
      StatusCode = HttpStatusCode.NotFound
 }
 throw new HttpResponseException(response);