ASP.NET Web API: Korrekte Möglichkeit, eine 401/nicht autorisierte Antwort zurückzugeben

Question

Ich habe eine MVC Webapi-Site, die OAuth/Token-Authentifizierung verwendet, um Anforderungen zu authentifizieren. Alle relevanten Controller haben die richtigen Attribute und die Authentifizierung funktioniert einwandfrei.

Das Problem ist, dass nicht alle der Anfrage im Rahmen eines Attributs autorisiert werden können - einige Berechtigungsprüfungen müssen in Code durchgeführt werden, der von Controller-Methoden aufgerufen wird - Was ist die richtige Methode, um eine 401 nicht autorisierte Antwort zurückzugeben in diesem Fall?

Ich habe versucht, , aber wenn ich dies tun, ist der Antwortstatuscode 500 und ich bekomme auch einen Stack-Trace. Sogar in unserem Logging DelegierenHandler können wir sehen, dass die Antwort 500, nicht 401 ist.

Answer 1

Sie sollen ein HttpResponseException von Ihrer API-Methode werfen, nicht HttpException:

throw new HttpResponseException(HttpStatusCode.Unauthorized); 

Oder, wenn Sie eine benutzerdefinierte Nachricht liefern :

var msg = new HttpResponseMessage(HttpStatusCode.Unauthorized) { ReasonPhrase = "Oops!!!" }; 
throw new HttpResponseException(msg); 

Answer 2

Sie erhalten einen 500 Antwort-Code, weil Sie eine Ausnahme werfen (die HttpException), die eine Art von Server-Fehler angibt, das ist falsch Ansatz.

Stellen Sie einfach den Antwortstatuscode .eg

Response.StatusCode = (int)HttpStatusCode.Unauthorized; 

Answer 3

Geben Sie einfach Folgendes zurück:

return Unauthorized(); 

Answer 4

Als Alternative zu den anderen Antworten, können Sie diese auch verwenden:

return Content(HttpStatusCode.Unauthorized, "My error message"); 

Anscheinend ist der Grund Phrase ziemlich optional (Can an HTTP response omit the Reason-Phrase?)