6

私はasp.net Web APIにあります。 loginメソッドでは、私は、DBに対してユーザー/パスワードを確認し、それらが一致しない場合、私は401でメッセージを送信:Asp.net Web-api

var content = new StringContent("Invalid user name or password"); 
var message = new HttpResponseMessage(HttpStatusCode.Unauthorized); 
message.Content = content; 
throw new HttpResponseException(message); 

ようinvalid user or password methodと一緒に401ステータスコードを返す。しかしAPIは、私のメッセージを無視して、単に

のような一部のHTMLを返すように見えます
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd"> 
<html xmlns="http://www.w3.org/1999/xhtml"> 
<head> 
<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1"/> 
<title>401 - Unauthorized: Access is denied due to invalid credentials.</title> 
<style type="text/css"> 
<!-- 
body{margin:0;font-size:.7em;font-family:Verdana, Arial, Helvetica, sans-serif;background:#EEEEEE;} 
fieldset{padding:0 15px 10px 15px;} 
h1{font-size:2.4em;margin:0;color:#FFF;} 
h2{font-size:1.7em;margin:0;color:#CC0000;} 
h3{font-size:1.2em;margin:10px 0 0 0;color:#000000;} 
#header{width:96%;margin:0 0 0 0;padding:6px 2% 6px 2%;font-family:"trebuchet MS", Verdana, sans-serif;color:#FFF; 
background-color:#555555;} 
#content{margin:0 0 0 2%;position:relative;} 
.content-container{background:#FFF;width:96%;margin-top:8px;padding:10px;position:relative;} 
--> 
</style> 
</head> 
<body> 
<div id="header"><h1>Server Error</h1></div> 
<div id="content"> 
<div class="content-container"><fieldset> 
    <h2>401 - Unauthorized: Access is denied due to invalid credentials.</h2> 
    <h3>You do not have permission to view this directory or page using the credentials that you supplied.</h3> 
</fieldset></div> 
</div> 
</body> 
</html> 

なぜですか?これをどのように無効にすることができますか?

答えて

1

この応答の潜在的な原因として、IIS Webサイトがフォーム認証を許可するように構成されていることが考えられます。このolder but still valid postを見て、Web APIのフォーム認証を無効にするようにIISを構成してください。

+0

この場合、401のカスタムHTMLを投げてもログインページにリダイレクトされませんか? –

+0

応答コードは正しい401で、ログインページにリダイレクトしていないことに注意してください。問題はそれが自分の選択のhtmlを返すことだけです。 –

1

私はあなたが得ている応答はIISからであり、Web APIからではないと考えています。 API内で認証プロセスを自分で処理する場合は、IISに匿名アクセスが許可されているため、邪魔にならないようにする必要があります。

また、401を返すときは、www-authenticateヘッダーを返さなければなりません(http://www.w3.org/Protocols/rfc2616/rfc2616-sec10.html#sec10.4.2を参照)。これは、どのタイプの認証が許可されているかをクライアントに通知します。

関連する問題