ASP.NetコアのAuthorize属性を使用してHTTP 403を返します。

Question

ASP.Net WebAPIを使用する場合、状況によっては、または401のいずれかを返すために使用するcustom Authorize attributeがありました。例えばユーザーが認証されていない場合は、401を返します。ユーザーが認証されていても適切な権限がない場合は、403を返します。それにはSee here for more discussion。

新しいASP.Netコアでは、代わりにポリシーベースのアプローチを採用しているようですが、今度はdon't want you overriding the Authorize attributeのように見えます。しかし、コアMVCは、前任者が持っていた「すべての認証エラーに対して同じ返信401」の脆弱性があるようです。

私が望む動作を得るためにフレームワークをオーバーライドするにはどうすればよいですか？

Answer 1

issue hereを開いた後、実際に動作するはずです。

Startup.Configureでは、app.UseMvc()を呼び出すだけで、他のミドルウェアを登録しないと、認証関連ではなく認証済みですが許可がない場合は、401となります。

ただし、認証ミドルウェアをサポートする認証ミドルウェアを登録すると、認証されていない場合は401、アクセス許可がない場合は403になります。私にとっては、で認証できるJwtBearerMiddlewareを使用しました。キー部分は、ミドルウェアを作成するときにAutomaticChallengeオプションを設定することです：Startup.Configureで

：

あなたがコントローラで Userにアクセスできるように

app.UseJwtBearerAuthentication(new JwtBearerOptions 
{ 
    AutomaticAuthenticate = true, 
    AutomaticChallenge = true 
}); 
app.UseMvc(); 

AutomaticAuthenticateが自動的ClaimsPrincipalを設定します。 AutomaticChallengeは、認証ミドルウェアが認証エラーが発生した場合（この場合、401または403を適切に設定して）応答を変更することを許可します。

独自の認証方式を実装する場合は、AuthenticationMiddlewareおよびAuthenticationHandlerから継承し、JWT implementation worksのようになります。

Answer 2

私はミドルウェアでそれをやってしまった：

app.UseMvc()を呼び出す前 Startup.Configureに登録する必要があります

public class AuthorizeCorrectlyMiddleware 
{ 
    readonly RequestDelegate next; 

    public AuthorizeCorrectlyMiddleware(RequestDelegate next) 
    { 
     this.next = next; 
    } 

    public async Task Invoke(HttpContext context) 
    { 
     await next(context); 

     if (context.Response.StatusCode == (int)HttpStatusCode.Unauthorized) 
     { 
      if (context.User.Identity.IsAuthenticated) 
      { 
       //the user is authenticated, yet we are returning a 401 
       //let's return a 403 instead 
       context.Response.StatusCode = (int)HttpStatusCode.Forbidden; 
      } 
     } 
    } 
} 

。