Przekierowanie MVC z niestandardowymi nagłówkami

Question

Mam nadzieję, że jest to proste pytanie dla kogoś.

Zasadniczo po otrzymaniu żądania mojego kontrolera MVC, chcę:

1. Dodaj „zezwolenie” nagłówek odpowiedzi
2. przekierowanie do innej aplikacji siedzi na innej domenie
3. Przeczytaj " "Nagłówek autoryzacji" w tej witrynie zewnętrznej.

Wygląda na akt przekierowania, usuwa wszystkie moje niestandardowe nagłówki i przekierowania.

Moje pytanie, jak dodać nowy nagłówek, I wykonać przekierowanie, I czy ten nagłówek pojawia się w nagłówkach hosta odbierającego [na końcu przekierowania], aby przeczytać?

Answer 1

Nie - przekierowanie 302 jest obsługiwane przez przeglądarkę i nie będzie ponownie dołączać nagłówków.

Opcje:

• stronie serwera proxy
• wykorzystywać cookies zamiast innych nagłówków (jeśli jest to ta sama domena, nie twoja sprawa za 2)
• obsługi po stronie klienta przekierowanie (może być ok, ponieważ robisz mimo to wywołanie AJAX).

Answer 2

Nie możesz. Tak nie działa HTTP. Po pierwsze, "przekierowanie" to tylko kod stanu 301, 302 lub (od HTTP 1.1) 307 z nagłówkiem Location ustawionym na adres URL, do którego powinien przejść klient. Klient inicjuje żądanie do tego adresu URL, więc nie masz wpływu na to, jakie nagłówki wysyłają.

Po drugie, HTTP jest bezpaństwowcem, więc fakt, że nagłówek Authorization został wysłany w jakiejś odpowiedzi w pewnym momencie, ma zero mając na uwadze wszystko, co dzieje się w przyszłych zamówieniach. Przeglądarki internetowe i inne klienty HTTP omijają bezpaństwowy charakter protokołu HTTP, używając sesji po stronie serwera i plików cookie po stronie klienta. Klient przesyła plik cookie do serwera wraz z żądaniem. Plik cookie pasuje do pozycji w magazynie sesji na serwerze, a serwer ładuje dane z tej sesji, aby wyglądał tak, jakby był utrzymywany stan.

Po trzecie, pliki cookie nie działają w tej sytuacji, ponieważ są powiązane z domeną i nie są wysyłane wraz z żądaniami do domen, z których nie pochodzą. Tak więc, nawet jeśli utworzysz sesję, aby zachować autoryzację, druga strona nigdy jej nie zobaczy.

FWIW, podstawowa zasada tutaj, dzieląca stan uwierzytelnienia z inną domeną, to dokładnie dla jakich technologii takich jak OAuth zostały opracowane. Więc bezpośrednie przyszłe badania w tym kierunku.