我不理解OnAuthentication和OnAuthenticationChallenge的目的/区别,除了在执行操作之前运行OnAuthentication并且在执行操作之后但在处理操作结果之前运行OnAuthenticationChallenge.
似乎其中任何一个(OnAuthentication或OnAuthenticationChallenge)都可以完成身份验证所需的所有操作.为什么需要2种方法？
我的理解是OnAuthentication就是我们把验证的逻辑(或者应该这样的逻辑是,在实际的操作方法？),连接到数据存储和检查的用户帐户.OnAuthenticationChallenge是我们在未经过身份验证的情况下重定向到登录页面的地方.它是否正确？为什么我不能只重定向OnAuthentication而不实现OnAuthenticationChallenge.我知道有些东西我不知道; 有人可以向我解释一下吗？
另外,存储经过身份验证的用户的最佳做法是什么,以便后续请求不必连接到db以再次检查用户？
请记住,我是ASP.NET MVC的新手.
Dan*_*.G. 27
这些方法实际上用于不同的目的:
IAuthenticationFilter.OnAuthentication 应该用于设置主体,主体是标识用户的对象.
您还可以在此方法中设置结果HttpUnauthorisedResult(这样可以避免执行其他授权过滤器).虽然这是可能的,但我喜欢不同过滤器之间的关注点分离.
IAuthenticationFilter.OnAuthenticationChallenge 用于在结果返回给用户之前向结果添加"挑战".
这总是在结果返回给用户之前执行,这意味着它可能在不同的requets上的管道的不同点处执行.请参阅ControllerActionInvoker.InvokeAction下面的说明.
将此方法用于"授权"目的(例如检查用户是否已登录或担任某个角色)可能是一个坏主意,因为它可能在控制器操作代码之后执行,因此您可能在此之前更改了db中的内容被执行!
我们的想法是,此方法可用于对结果做出贡献,而不是执行关键授权检查.例如,您可以使用它HttpUnauthorisedResult根据某些逻辑将重定向转换为不同的登录页面.或者您可以保留一些用户更改,将其重定向到另一个页面,您可以在其中请求其他确认/信息,并根据答案最终提交或放弃这些更改.
IAuthorizationFilter.OnAuthorization仍应用于执行身份验证检查,例如检查用户是否已登录或属于某个角色.
如果检查源代码,可以更好地了解ControllerActionInvoker.InvokeAction.执行操作时会发生以下情况:
IAuthenticationFilter.OnAuthentication为每个身份验证筛选器调用.如果委托人在AuthenticationContext更新,那么这两个context.HttpContext.User和Thread.CurrentPrincipal更新.
如果任何验证过滤器设置结果,例如设置404结果,OnAuthenticationChallenge则为每个验证过滤器调用,这将允许在返回之前更改结果.(例如,您可以将其转换为重定向以进行登录).在挑战之后,返回结果而不进行到步骤3.
如果没有任何验证过滤器设置结果,则执行IAuthorizationFilter其每个OnAuthorization方法.
与步骤2中一样,如果任何授权过滤器设置结果,例如设置404结果,OnAuthenticationChallenge则为每个认证过滤器调用.在挑战之后,返回结果而不进行到步骤3.
如果没有授权过滤器设置结果,那么它将继续执行操作(考虑请求验证和任何操作过滤器)
执行操作后,在返回结果之前,OnAuthenticationChallenge将为每个身份验证筛选器调用
我已将ControllerActionInvoker.InvokeAction此处的当前代码复制为参考,但您可以使用上面的链接查看最新版本:
public virtual bool InvokeAction(ControllerContext controllerContext, string actionName)
{
if (controllerContext == null)
{
throw new ArgumentNullException("controllerContext");
}
Contract.Assert(controllerContext.RouteData != null);
if (String.IsNullOrEmpty(actionName) && !controllerContext.RouteData.HasDirectRouteMatch())
{
throw new ArgumentException(MvcResources.Common_NullOrEmpty, "actionName");
}
ControllerDescriptor controllerDescriptor = GetControllerDescriptor(controllerContext);
ActionDescriptor actionDescriptor = FindAction(controllerContext, controllerDescriptor, actionName);
if (actionDescriptor != null)
{
FilterInfo filterInfo = GetFilters(controllerContext, actionDescriptor);
try
{
AuthenticationContext authenticationContext = InvokeAuthenticationFilters(controllerContext, filterInfo.AuthenticationFilters, actionDescriptor);
if (authenticationContext.Result != null)
{
// An authentication filter signaled that we should short-circuit the request. Let all
// authentication filters contribute to an action result (to combine authentication
// challenges). Then, run this action result.
AuthenticationChallengeContext challengeContext = InvokeAuthenticationFiltersChallenge(
controllerContext, filterInfo.AuthenticationFilters, actionDescriptor,
authenticationContext.Result);
InvokeActionResult(controllerContext, challengeContext.Result ?? authenticationContext.Result);
}
else
{
AuthorizationContext authorizationContext = InvokeAuthorizationFilters(controllerContext, filterInfo.AuthorizationFilters, actionDescriptor);
if (authorizationContext.Result != null)
{
// An authorization filter signaled that we should short-circuit the request. Let all
// authentication filters contribute to an action result (to combine authentication
// challenges). Then, run this action result.
AuthenticationChallengeContext challengeContext = InvokeAuthenticationFiltersChallenge(
controllerContext, filterInfo.AuthenticationFilters, actionDescriptor,
authorizationContext.Result);
InvokeActionResult(controllerContext, challengeContext.Result ?? authorizationContext.Result);
}
else
{
if (controllerContext.Controller.ValidateRequest)
{
ValidateRequest(controllerContext);
}
IDictionary<string, object> parameters = GetParameterValues(controllerContext, actionDescriptor);
ActionExecutedContext postActionContext = InvokeActionMethodWithFilters(controllerContext, filterInfo.ActionFilters, actionDescriptor, parameters);
// The action succeeded. Let all authentication filters contribute to an action result (to
// combine authentication challenges; some authentication filters need to do negotiation
// even on a successful result). Then, run this action result.
AuthenticationChallengeContext challengeContext = InvokeAuthenticationFiltersChallenge(
controllerContext, filterInfo.AuthenticationFilters, actionDescriptor,
postActionContext.Result);
InvokeActionResultWithFilters(controllerContext, filterInfo.ResultFilters,
challengeContext.Result ?? postActionContext.Result);
}
}
}
catch (ThreadAbortException)
{
// This type of exception occurs as a result of Response.Redirect(), but we special-case so that
// the filters don't see this as an error.
throw;
}
catch (Exception ex)
{
// something blew up, so execute the exception filters
ExceptionContext exceptionContext = InvokeExceptionFilters(controllerContext, filterInfo.ExceptionFilters, ex);
if (!exceptionContext.ExceptionHandled)
{
throw;
}
InvokeActionResult(controllerContext, exceptionContext.Result);
}
return true;
}
// notify controller that no method matched
return false;
}
至于在设置主体时不在每个请求上访问db,您可以使用某种服务器端缓存.