AuthorizeAttribute adaloutout MVC

Question

J'ai créé un attribut Authorize personnalisé basé sur des groupes AAD dans MVC. Si je retourne false dans l'attribut les applications vont dans une boucle infinie sur la page de connexion. Comment vous déconnecter l'utilisateur d'un attribut d'autorisation personnalisé lors de l'utilisation d'adal dans une application MVC?

Answer 1

Lorsque l'utilisateur est authentifié, mais ne pas le rôle (faux retourné dans l'attribut personnalisé) l'attribut authorize changera la réponse à 401. Il est uniquement lorsque l'utilisateur est authentifié et avoir le rôle (true retourné dans l'attribut personnalisé) que l'attribut authorize ne changera pas la réponse. Si vous utilisez FormsAuthentication ou le Middleware d'authentification de cookie OWIN et que l'utilisateur est déjà connecté, il sera de nouveau redirigé vers la page de connexion, ce qui est assez bizarre si vous le souhaitez. "Je me suis déjà connecté, et maintenant je suis de retour à la page de connexion juste parce que j'ai cliqué sur un lien, et personne ne m'a dit pourquoi cela est arrivé." AuthorizeAttribute fournit une méthode virtuelle protégée nommée HandleUnauthorizedRequest que vous pouvez remplacer, en vérifiant si l'utilisateur est authentifié et affiche une page erro. Par exemple:

protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext) 
     { 
      if (filterContext.HttpContext.User.Identity.IsAuthenticated) 
      { 
       filterContext.Result = new HttpStatusCodeResult(HttpStatusCode.Forbidden); 
      } 
      else 
      { 
       base.HandleUnauthorizedRequest(filterContext); 
      } 
     } 

Vous pouvez également rediriger un utilisateur non autorisé dans votre coutume AuthorisationAttribute en redéfinissant la méthode HandleUnauthorizedRequest:

protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext) 
{ 
    filterContext.Result = new RedirectToRouteResult(
       new RouteValueDictionary(
        new 
         { 
          controller = "Error", 
          action = "Unauthorised" 
         }) 
       ); 
} 

S'il vous plaît lire here pour plus de détails.

Answer 2

I think I found a solution I am testing as we speak: 

protected override bool AuthorizeCore(HttpContextBase httpContext) 
    { 
     var authorized = base.AuthorizeCore(httpContext); 

     var allowedGroups = GetAllowedGroups(); 

     var urlHelper = new UrlHelper(HttpContext.Current.Request.RequestContext); 
     string callbackUrl = urlHelper.Action("SignOutCallback", "Account", routeValues: null, protocol: httpContext.Request.Url.Scheme); 

     httpContext.GetOwinContext().Authentication.SignOut(
      new AuthenticationProperties { RedirectUri = callbackUrl }, 
      OpenIdConnectAuthenticationDefaults.AuthenticationType, CookieAuthenticationDefaults.AuthenticationType); 

     return authorized; 
    }