Пользовательские разрешения в Web.API

Question

Мое понимание ASP.NET MVC является то, что для разрешения я должен использовать что-то вроде -

public class IPAuthorize : AuthorizeAttribute { 

protected override bool AuthorizeCore(HttpContextBase httpContext) { 
    //figure out if the ip is authorized 
    //and return true or false 
} 

Но в Web API, нет AuthorizeCore(..).

Существует OnAuthorization(..), а общий совет для MVC - не использовать OnAuthorization(..).

Что следует использовать для пользовательских авторизаций в веб-API?

Answer 1

Я не согласен с Оппозиционный вообще -

Авторизация осуществляется в фильтре авторизации - это означает, что вы проистекают из System.Web.Http.AuthorizeAttribute и реализации IsAuthorized метода.

Вы не реализуете авторизацию в обычном фильтре действий, потому что они работают позже в конвейере, чем фильтры авторизации.

Вы также не реализуете аутентификацию в фильтре (например, синтаксический разбор JWT) - это делается еще раньше в точке расширяемости, называемой MessageHandler.

Answer 2

Метод, которым мы пользуемся, является обычным атрибутом ApiAuthorize, который наследуется от System.Web.Http.AuthorizeAttribute. например:

public class ApiAuthorizeAttribute : AuthorizeAttribute 
{ 
    readonly CreditPointModelContext _ctx = new CreditPointModelContext(); 

    public override void OnAuthorization(System.Web.Http.Controllers.HttpActionContext actionContext) 
    { 
     if(Authorize(actionContext)) 
     { 
      return; 
     } 
     HandleUnauthorizedRequest(actionContext); 
    } 

    protected override void HandleUnauthorizedRequest(System.Web.Http.Controllers.HttpActionContext actionContext) 
    { 
     var challengeMessage = new System.Net.Http.HttpResponseMessage(System.Net.HttpStatusCode.Unauthorized); 
     challengeMessage.Headers.Add("WWW-Authenticate", "Basic"); 
     throw new HttpResponseException(challengeMessage); 

    } 

    private bool Authorize(System.Web.Http.Controllers.HttpActionContext actionContext) 
    { 
     try 
     { 
      //boolean logic to determine if you are authorized. 
      //We check for a valid token in the request header or cookie. 


     } 
     catch (Exception) 
     { 
      return false; 
     } 
    } 
}