ASP.Net MVC 自定义身份验证

Question

我有一个 Asp.Net MVC web 应用程序位于一个仍然主要由 delphi 管理的网站中。安全性目前由创建 cookie 的 delphi 管理。

已决定通过提取 cookie 详细信息并将其传递给导入的 Delphi DLL 来验证 ASP.Net 应用程序中的用户身份，该 DLL 根据用户是否有效返回 true 或 false。

我的计划是使用表单例份验证，但不是将用户重定向到表单，而是调用 delphi 包装器，如果成功，则将用户重定向到原始 url。这样做的好处是，当安全性迁移到 .Net 时，身份验证框架已经存在，只是需要更改实现。

public ActionResult LogOn(SecurityCookies model, string returnUrl)
    {
        try
        {
            if (model != null)
            {
                Log.DebugFormat("User login: Id:{0}, Key:{1}", model.UserId, model.Key);
                if (authenticator.UserValid(model.UserId, model.Key, 0))
                {
                    FormsService.SignIn(model.UserId, false);
                    return Redirect(returnUrl);
                }
            }
...

请注意，SecurityCookies 是由 delphi 生成的 cookie 的自定义绑定(bind)类生成的 - 这很好用。

对 delphi dll 的调用也可以正常工作。

我必须克服的问题是，几乎所有对 .Net 应用程序的调用都是 ajax 请求。但是，当用户未登录时，由于重定向，浏览器会进行 3 次调用:1)原始ajax请求2) 重定向到 ~/Account/Logon (上面的代码)3) 重定向回原来的ajax请求

虽然跟踪发回给客户的响应，但表明第 3 步返回了正确的数据，但总体而言，该过程由于尚未确定的原因而失败。只需单击客户端上的刷新即可，因为现在用户已通过身份验证，并且不会重定向到 ~/account/Logon。

注意我的客户端 jQuery 代码如下: $.getJSON(请求字符串，函数(数据){ //对数据做一些事情 });

有没有办法更改表单例份验证过程，以便在用户未通过身份验证时重定向到 URL，我可以运行其他代码来代替？我希望用户的浏览器完全看不到身份验证这一事实。

Answer 1

如果您想对请求进行身份验证，可以在 global.asax.cs 中通过定义 Application_AuthenticateRequest 方法来执行此操作。在这里，您可以使用导入的 delphi dll 读取自定义 cookie 并设置 Context.User。 asp.net 中的所有授权都基于 HttpContext 中设置的用户。 Application_AuthenticateRequest 方法的实现示例:

protected void Application_AuthenticateRequest(Object sender, EventArgs e)
{
    HttpCookie authCookie = Request.Cookies[FormsAuthentication.FormsCookieName];
    if(authCookie != null)
    {
        //Extract the forms authentication cookie
        FormsAuthenticationTicket authTicket = FormsAuthentication.Decrypt(authCookie.Value);
        // Create an Identity object
        //CustomIdentity implements System.Web.Security.IIdentity
        CustomIdentity id = GetUserIdentity(authTicket.Name);
        //CustomPrincipal implements System.Web.Security.IPrincipal
        CustomPrincipal newUser = new CustomPrincipal();
        Context.User = newUser;
    }
}

如果 cookie 无效，则不会在上下文中设置用户。

然后您可以创建一个 BaseController，您的所有 Controller 都将从中继承该 Controller ，以检查上下文中提供的用户是否经过身份验证。如果用户未通过身份验证，您可以返回 HttpUnauthorizedResult。

public class BaseController : Controller
{
    protected override void OnActionExecuting(ActionExecutingContext filterContext)
    {
        if (User == null || (User != null && !User.Identity.IsAuthenticated))
        {
           filterContext.Result = new HttpUnauthorizedResult();
        }
        else
        {
            // Call the base
            base.OnActionExecuting(filterContext);
        }
    }
}

在你的 web.config 中:

<authentication mode="None"/>

因为您不希望将请求重定向到登录页面。