Come fare Autorizza attribuire tornare personalizzato 403 pagina di errore invece di reindirizzamento alla pagina di accesso

Question

[Authorize] attributo è bello e utile invenzione MS, e spero che possa risolvere i problemi che ho adesso

Per essere più precisi:

Quando client corrente non viene autenticato - [Authorize] reindirizza da azione messa in sicurezza alla pagina di accesso e dopo l'accesso ha avuto successo - riporta utente indietro, questo è buono.

Ma quando client corrente già autenticato ma non autorizzato a eseguire un'azione specifica - tutto quello che serve è di visualizzare solo il mio generale 403 pagina.

E 'possibile senza spostare la logica di autorizzazione all'interno del corpo del controllore?

Aggiornamento: Il comportamento ho bisogno dovrebbe essere semanticamente uguale a questo schizzo:

public ActionResult DoWork() 
{ 
    if (!NotAuthorized()) 
    { 
     // this should be not redirect, but forwarding 
     return RedirectToAction("403");   
    } 

    return View(); 
} 

così - ci dovrebbe senza alcun redirect e URL deve essere rimanere lo stesso, ma il contenuto della pagina dovrebbe essere sostituito con 403 pagine

Update 2: ho implementato schizzo in questo modo:

[HandleError] 
public class HomeController : Controller 
{ 
    public ActionResult Index() 
    { 
     ViewData["Message"] = "Welcome to ASP.NET MVC!"; 

     return View(); 
    } 

    [CustomActionFilter] 
    public ActionResult About() 
    { 
     return View(); 
    } 

    public ActionResult Error_403() 
    { 
     return Content("403"); 
    } 
} 

public class CustomActionFilter : ActionFilterAttribute 
{ 
    public override void OnActionExecuting(ActionExecutingContext filterContext) 
    { 
     filterContext.Result = new ContentResult { Content = "403" }; 
    } 
} 

e non può ottenere come correttamente l'ora di esecuzione per HomeController.Action_403() in modo che visualizzi 403.

Update 3:

filterContext.Result = new ViewResult() { ViewName = "Error_403" }; 

quindi questa è una risposta su come rendere specifica guarda il modello ... ma non hai ancora idea di come eseguire un altro controller - comunque, è una buona soluzione.

Answer 1

Si dovrebbe essere in grado di creare la propria classe che deriva da AuthorizeAttribute e l'override del metodo AuthorizeCore per fornire il meccanismo di autorizzazione che si desidera, in modo che è possibile applicare il codice di autorizzazione personalizzato utilizzando un attributo invece di spostarlo nella controller.

Se è necessario un controllo più dettagliato sull'autorizzazione, si consiglia di creare un'implementazione dell'interfaccia IActionFilter (su un attributo, quindi applicare l'attributo ai propri metodi). Ciò ti consentirà di intercettare le chiamate prima di andare al controller e di fornire azioni alternative prima del il metodo del controller viene chiamato.

Ciò si ottiene implementando OnActionExecuting method nell'interfaccia IActionFilter. Se la logica determina che non si deve effettuare la chiamata al controller a tutti, e si desidera fornire un ActionResult da lavorare, invece, allora si dovrebbe impostare la Result property sull'istanza ActionExecutingContext passato nel metodo. Effettuando ciò, quello ActionResult si elabora invece che passa al metodo di controller per ottenere uno ActionResult.

Se si desidera restituire un codice di errore di 403, quindi non è possibile utilizzare la classe ContentResult.Si dovrà creare una classe che deriva da ActionResult e l'override del metodo ExecuteResult per impostare il StatusCode property sul HttpResponseBase-403, in questo modo:

internal class Http403Result : ActionResult 
{ 
    public override void ExecuteResult(ControllerContext context) 
    { 
     // Set the response code to 403. 
     context.HttpContext.Response.StatusCode = 403; 
    } 
} 

public class CustomActionFilter : ActionFilterAttribute 
{ 
    public override void OnActionExecuting(ActionExecutingContext filterContext) 
    { 
     filterContext.Result = new Http403Result(); 
    } 
} 

Naturalmente, si può generalizzare la classe Http403Result di prendere un costruttore che accetterà il codice di stato che si desidera restituire, ma il concetto rimane lo stesso.

Answer 2

Quello che vorrei fare è sottoclasse AuthorizeAttribute e sovrascrivere HandleUnauthorizedRequest per restituire il codice di stato HTTP 403 se l'utente è autenticato. Vorrei quindi aggiungere una sezione system.webServer \ httpErrors al mio Web.Config per sostituire il 403 predefinito con la mia pagina personalizzata (quest'ultima parte richiede IIS 7+). Ecco come:

public class MyAuthorizeAttribute : AuthorizeAttribute { 
    protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext) { 
     if (filterContext.HttpContext.User.Identity.IsAuthenticated) 
      filterContext.Result = new HttpStatusCodeResult(403); 
     else 
      filterContext.Result = new HttpUnauthorizedResult(); 
    } 
} 

<configuration> 
    <system.webServer> 
    <httpErrors errorMode="Custom" existingResponse="Replace"> 
     <remove statusCode="403" /> 
     <error statusCode="403" responseMode="ExecuteURL" path="/Error/MyCustom403page" /> 
    </httpErrors> 
    </system.webServer> 
</configuration>