当站点具有全局 AuthorizeAttribute 时，ASP.NET 允许匿名访问 OData $metadata

Question

我有一个 ASP.NET OData 站点，WebApiConfig 文件中包含以下内容:

config.Filters.Add(new AuthorizeAttribute())

这会强制所有调用者在调用任何 Controller 之前进行身份验证。
不幸的是，这也强制用户身份验证访问“$metadata”url。
我需要对所有 Controller 访问进行全局强制身份验证，同时还允许匿名访问“$metadata”url。

Answer 1

我意识到这个问题已经得到解答，但我对已接受的答案有一些担忧:

• 假设元数据端点不会更改
• 如果添加/移动端点，则需要更新代码
• 不处理根端点(没有/$meatdata)

我同意创建您自己的AuthorizeAttribute，但我会以稍微不同的方式实现该方法。

    protected override bool IsAuthorized(HttpActionContext actionContext)
    {
        if (actionContext.ControllerContext.Controller is System.Web.OData.MetadataController)
            return true;

        return base.IsAuthorized(actionContext);
    }

我的解决方案只是检查正在访问的 Controller 是否是 OData 的 MetadataController。如果是，则允许任何人访问，否则，请进行正常的授权检查。