c# - 如何从非 Controller 创建通用的未经授权的 IHttpActionResult

Question

我有一个 API 调用，它使用 Refit 返回 IHttpActionResult。

[Patch("/api/userprofile/")]
[Headers("Authorization: Bearer")]
Task<IHttpActionResult> UpdateUserProfile(UserProfile user);  

我在单独的 DLL 中创建了一个单独的类来处理 API 调用。

public async Task<IHttpActionResult> UpdateUserProfile(UserProfile profile)
{
    if (HttpContext.Current.Request.IsAuthenticated)
    {
        var ups = ApiServiceFactory.GetUserProfileService();
        var result = ups.UpdateUserProfile(profile);

        return result.Result;
    }
    return ???;
}

这个类目前不派生自APIController，那么如何创建一个继承自IHttpActionResult 的对象。我尝试了 ResponseMessage、HttpResponseMessage、Ok 和 Content(Status, Message)。其中大部分需要从 APIContoller 派生。仅仅创建一个对象似乎有点矫枉过正。

那么我如何创建一个继承自 IHttpActionResult 的对象，以从普通类/方法返回类似 401 的内容？

Answer 1

如果您要分离职责，那么您应该分离所有职责。

您的 UdpateUserProfile 方法应该不知道它是从哪里调用的。如果您想在线添加 WPF 客户端，则根本不必更改此类。在那种情况下，您不会返回 IHttpActionResult，您会做其他事情。

因此，从您的方法中删除该依赖项。让它通知它的任务是否成功。在这种情况下，bool 可能更适合作为返回值。如果您想返回额外的信息，您可以创建一个简单的模型来封装您想要返回的任何其他数据。

public class AuthorizationResult
{
    public bool Result { get; set; }
    public string Message { get; set; }

    public AuthorizationResult()
    {
        Result = true;
    }

    public AuthorizationResult(string errorMessage)
    {
        Result = false;
        Message = errorMessage;
    }
}

然后在您的服务中。

public async Task<AuthorizationResult> UpdateUserProfile(UserProfile profile)
{
    try
    {
        var ups = ApiServiceFactory.GetUserProfileService();
        var result = ups.UpdateUserProfile(profile);

        return new AuthorizationResult();
    }
    catch (Exception ex)
    {
        // Just an example of how to get a message.
        // Depending on your implementation, you might be returning a 
        // message from UpdateUserProfile(profile).
        return new AuthorizationResult(ex.Message);
    }
}

然后，在您的 API Controller 内部，您将它与技术紧密耦合，因为它直接在那里使用。您检查用户是否已通过身份验证的检查也应包含在此处，因为您的服务对用户身份验证的机制一无所知。

var result = HttpContext.Current.Request.IsAuthenticated ?
                separateClass.UpdatedUserProfile(profile) :
                new AuthorizationResult("User is not authenticated");

return result.Result ? Ok() : Unauthorized();

从您的配置文件服务的返回类型来看，听起来您还需要重构 UpdateUserProfile() 方法，以移除那里的依赖项。

为了获得最佳安全性，您不应显示无法更新用户的任何具体原因。但是，这绝对应该记录在某个地方，以便您可以跟踪任何未经授权的系统访问。