Niestandardowy MVC AuthorizeAttribute dla ASP.NET Web API

Question

Próbuję zaimplementować niestandardowy atrybut autoryzacji na moich kontrolerach Web API, ale natknąłem się na nieoczekiwane zachowanie.

 <Authorize(Users:="myUser")> 
    Public Function GetTodoItems() As IQueryable(Of TodoItem) 

Powyższy kod działa bardzo dobrze: Pozwoli to „myUser” odzyskać elementy, bot nikt inny nie jest dozwolony dostęp. Jednakże, gdy próbuję tego samego podejścia z moją niestandardową autoryzacją, całe sprawdzanie jest pomijane, a każdy użytkownik może uzyskać dostęp do zasobu. Ani metodyani overidden w mojej klasie pochodnej nie są wywoływane.

 <MyAuth(Users:="myUser")> 
    Public Function GetTodoItems() As IQueryable(Of TodoItem) 

Klasa pochodna dziedziczy System.Web.Mvc.AuthorizeAttribute, a projekt jest wdrażany na IIS, z Windows Authentication & personifikacji włączona i Anonymous Authentication wyłączone.

Jeśli dodaję tę samą niestandardową autoryzację do kontrolera MVC, to działa. Ale na kontrolerach API nic. Jeśli atrybut Authorize też by nie działał, miałoby to więcej sensu. Czy czegoś brakuje? Czy jest to oczekiwane zachowanie, czy błąd w wersji Beta?

Answer 1

Powinieneś użyć System.Web.Http.AuthorizeAttribute z System.Web.Http.dll dla Web API zamiast System.Web.Mvc.AuthorizeAttribute. To jest, ponieważ namespace System.Web.Http.AuthorizeAttribute pochodzi od AuthorizationFilterAttribute. Filtry są obsługiwane automatycznie przez Web API. W mojej własnej implementacji wyprowadziłem bezpośrednio z AuthorizationFilterAttribute dla obsługi podstawowego uwierzytelniania HTTP.

Answer 2

I został zbudowany własną implementację niestandardową podstawowe pozwolenia:

http://remy.supertext.ch/2012/04/basic-http-authorization-for-web-api-in-mvc-4-beta/

Może to pomoże.