我有一个 ASP.NET OData 站点,WebApiConfig 文件中包含以下内容:
config.Filters.Add(new AuthorizeAttribute())
这会强制所有调用者在调用任何 Controller 之前进行身份验证。
不幸的是,这也强制用户身份验证访问“$metadata”url。
我需要对所有 Controller 访问进行全局强制身份验证,同时还允许匿名访问“$metadata”url。
最佳答案
我意识到这个问题已经得到解答,但我对已接受的答案有一些担忧:
- 假设元数据端点不会更改
- 如果添加/移动端点,则需要更新代码
- 不处理根端点(没有/$meatdata)
我同意创建您自己的AuthorizeAttribute
,但我会以稍微不同的方式实现该方法。
protected override bool IsAuthorized(HttpActionContext actionContext)
{
if (actionContext.ControllerContext.Controller is System.Web.OData.MetadataController)
return true;
return base.IsAuthorized(actionContext);
}
我的解决方案只是检查正在访问的 Controller 是否是 OData 的 MetadataController。如果是,则允许任何人访问,否则,请进行正常的授权检查。
关于当站点具有全局 AuthorizeAttribute 时,ASP.NET 允许匿名访问 OData $metadata,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/35894875/