ASP.NET Web APIのカスタムMVC AuthorizeAttribute

Question

Web APIコントローラーでカスタム許可属性を実装しようとしましたが、予期しない動作が発生しました。

 <Authorize(Users:="myUser")> 
    Public Function GetTodoItems() As IQueryable(Of TodoItem) 

は、上記のコードは非常によく動作します。それは、ボットの誰も他に許可されているアクセス「myuserの」は、アイテムを取得することができます。ただし、私のカスタム認証で同じアプローチを試すと、チェック全体がスキップされ、どのユーザーもそのリソースにアクセスできます。派生クラス内のAuthorizeCoreとOnAuthorizationのオーバーライドされたメソッドは呼び出されません。

 <MyAuth(Users:="myUser")> 
    Public Function GetTodoItems() As IQueryable(Of TodoItem) 

派生クラスがSystem.Web.Mvc.AuthorizeAttributeから継承し、プロジェクトが有効Windows認証 & 偽装して、IIS上で展開され、そして匿名認証無効。

MVCコントローラに同じカスタム権限を追加しても機能します。しかし、APIコントローラでは、何もありません。 Authorize属性が機能しなかった場合は、より意味をなさないでしょう。何か不足していますか？これは予想される動作か、ベータ版のバグですか？

Answer 1

System.Web.Mvc.AuthorizeAttributeの代わりにWeb APIのSystem.Web.Http.dllからSystem.Web.Http.AuthorizeAttributeを使用する必要があります。

namespace System.Web.Http.AuthorizeAttributeは、AuthorizationFilterAttributeから派生したものです。フィルターはWeb APIによって自動的に処理されます。私自身の実装では、基本的なHTTP認証の処理のためにAuthorizationFilterAttributeから直接派生しました。

Answer 2

私は基本的な認証のための私自身のカスタム実装を構築しました：

http://remy.supertext.ch/2012/04/basic-http-authorization-for-web-api-in-mvc-4-beta/

多分これが役立ちます。