ASP.NET Web API：401 /不正な応答を返す正しい方法

OAuth /トークン認証を使用してリクエストを認証するMVC webapiサイトがあります。関連するすべてのコントローラーに適切な属性があり、認証は正常に機能しています。

問題は、すべてのリクエストを属性のスコープで承認できないことです。一部の承認チェックは、コントローラメソッドによって呼び出されるコードで実行する必要があります。この場合、401の不正な応答を返す正しい方法は何ですか。

私は試しましたがthrow new HttpException(401, "Unauthorized access");、これを行うと、応答ステータスコードが500になり、スタックトレースも取得されます。ログ記録のDelegatingHandlerでも、応答が401ではなく500であることがわかります。

あなたは投げるべきであるHttpResponseExceptionあなたのAPIの方法、ありませんからHttpException。

throw new HttpResponseException(HttpStatusCode.Unauthorized);

または、カスタムメッセージを提供する場合：

var msg = new HttpResponseMessage(HttpStatusCode.Unauthorized) { ReasonPhrase = "Oops!!!" };
throw new HttpResponseException(msg);

以下を返すだけです：

return Unauthorized();

他の回答の代わりに、IActionResultASP.NETコントローラー内でを返す場合は、このコードを使用することもできます。

ASP.NET

 return Content(HttpStatusCode.Unauthorized, "My error message");

更新：ASP.NET Core

上記のコードはASP.NET Coreでは機能しません。代わりに次のいずれかを使用できます。

 return StatusCode((int)System.Net.HttpStatusCode.Unauthorized, "My error message");
 return StatusCode(401, "My error message");

どうやら理由フレーズはかなりオプションです（HTTP応答は理由フレーズを省略できますか？）

HttpException何らかのサーバーエラーを示す例外（）をスローしているため、500応答コードが返されますが、これは間違ったアプローチです。

応答ステータスコードを設定するだけです。

Response.StatusCode = (int)HttpStatusCode.Unauthorized;

ASP.NET Core> = 1.0の既存の回答に追加するには、次のことができます

return Unauthorized();

return Unauthorized(object value);

クライアントに情報を渡すには、次のような呼び出しを行います。

return Unauthorized(new { Ok = false, Code = Constants.INVALID_CREDENTIALS, ...});

クライアントでは、401応答のほかに、データも渡されます。たとえば、ほとんどのクライアントではawait response.json()、それを取得できます。

.Net Coreで使用できます

return new ForbidResult();

の代わりに

return Unauthorized();

これは、ストレート401を与えるよりも、デフォルトの無許可ページ（Account / AccessDenied）にリダイレクトするという利点があります。

デフォルトの場所を変更するには、startup.csを変更します

services.AddAuthentication(options =>...)
            .AddOpenIdConnect(options =>...)
            .AddCookie(options =>
            {
                options.AccessDeniedPath = "/path/unauthorized";

            })

あなたはasp.netコア2.0でフォローコードを使用することができます：

public IActionResult index()
{
     return new ContentResult() { Content = "My error message", StatusCode = (int)HttpStatusCode.Unauthorized };
}

また、次のコードに従います。

var response = new HttpResponseMessage(HttpStatusCode.NotFound)
{
      Content = new StringContent("Users doesn't exist", System.Text.Encoding.UTF8, "text/plain"),
      StatusCode = HttpStatusCode.NotFound
 }
 throw new HttpResponseException(response);