对于使用[授权]操作筛选器的控制器方法,禁止浏览器身份验证登录对话框

Question

我正在使用Windows身份验证创建Intranet站点.

也许我不是最好的方式,但是我试图通过调用一个包含Authorize action过滤器的控制器方法来加载部分视图,这样只有经过授权的人才能看到页面的那一部分.比如说,我想在页面上加载管理员工具,但前提是登录的个人是管理员.

所以在index.cshtml页面上我可能有类似的东西:

@Html.Action("LoadAdminTools","ControllerName")

Controller将包含以下代码:

        [Authorize(Roles="Admins")]
        public ActionResult LoadAdminTools()
        {
            return PartialView("_AdminToolsPartialView");
        }

然后,包含管理控件(或其他)的部分视图将呈现给页面 - 仅当登录用户是Admins角色的一部分时.

我遇到的"问题"是,如果登录的人无权加载部分视图,浏览器会弹出登录对话框,询问用户的凭据.关闭对话框而不输入任何凭据会导致预期的结果 - 部分视图不会在页面的其余部分加载时加载.很酷,但很烦人.输入错误的凭据,您会收到401错误 - 也正如预期的那样.

如果有帮助:在IIS中,禁用匿名身份验证,启用 Windows身份验证.在"安全设置 - 本地Intranet区域"下的"Internet选项"中选择"使用当前用户名和密码自动登录".

我的问题是:有没有办法在没有浏览器要求用户登录的情况下使用[授权]操作过滤器加载部分视图(或者真的做任何事情)？只需要获取当前登录的凭据,检查它们是否符合操作过滤器,如果有,则加载部分视图,如果没有,则不要.如果没有,是否有更好的方式来实现我想在这里完成的工作？

UPDATE

---

美丽.我读了你发布的问题的解决方案,Mystere Man,在Controller的文件夹中创建了一个名为IntranetAuthorizeAttribute.cs的新类,抛出了代码:

[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, Inherited = true, AllowMultiple = true)]
    public class IntranetAuthorizeAttribute : System.Web.Mvc.AuthorizeAttribute
    {        
        protected override void HandleUnauthorizedRequest(System.Web.Mvc.AuthorizationContext filterContext)
        {
            if (filterContext.HttpContext.Request.IsAuthenticated)
            {
                filterContext.Result = new System.Web.Mvc.HttpStatusCodeResult(403);
            }
            else
            {
                base.HandleUnauthorizedRequest(filterContext);
            }
        }        
    }

用我的新IntranetAuthorize过滤器替换了Authorize过滤器:

        [IntranetAuthorize(Roles="Admins")]
        public ActionResult LoadAdminTools()
        {
            return PartialView("_AdminToolsPartialView");
        }

现在它可以在没有浏览器登录对话框的情况下加载页面- 当它是授权用户时具有局部视图,而当它不是授权用户时没有局部视图=)

谢谢!

Answer 1

不幸的是，ASP.NET（以及 MVC）在许多情况下将授权和身份验证混为一谈。

检查此问题以获取解决方案。

为什么AuthorizeAttribute认证授权失败会重定向到登录页面？