MVC 5.0 [AllowAnonymous] and the new IAuthenticationFilter

当我创建一个新的 asp.net mvc 4.0应用程序时，我要做的第一件事就是创建和设置一个自定义授权global filter，如下所示：

//FilterConfig.cs
public static void RegisterGlobalFilters(GlobalFilterCollection filters)
{
 //filters.Add(new HandleErrorAttribute());
 filters.Add(new CustomAuthorizationAttribute());
}

然后我像这样创建CustomAuthorizationAttribute：

//CustomAuthorizationAttribute.cs
    protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
    {
        if (filterContext.HttpContext.Request.IsAjaxRequest())  
        {
            //Handle AJAX requests
            filterContext.HttpContext.Response.StatusCode = 403;
            filterContext.Result = new JsonResult { JsonRequestBehavior = JsonRequestBehavior.AllowGet };
        }
        else
        {
            //Handle regular requests
            base.HandleUnauthorizedRequest(filterContext); //let FormsAuthentication make the redirect based on the loginUrl defined in the web.config (if any)
        }
    }

我有两个控制器：HomeController 和 SecureController

主控制器用 [AllowAnonymous] 属性进行装饰。

安全控制器不使用 [AllowAnonymous] 属性进行修饰。

HomeController的Index() ActionResult显示带有简单按钮的视图。

当我单击该按钮时，我对位于SecureController中的 GetData（） 方法进行 ajax 调用，如下所示：

$("#btnButton").click(function () {
    $.ajax({
        url: '@Url.Action("GetData", "Secure")',
        type: 'get',
        data: {param: "test"},
        success: function (data, textStatus, xhr) {
            console.log("SUCCESS GET");
        }
    });
});

不用说，当我单击按钮时，我触发了CustomAuthorizationAttribute，因为它是一个全局过滤器，但也因为SecureController没有用 [AllowAnonymous] 属性装饰。

好的，我的介绍结束了...

随着 asp.net mvc 5.0 的引入，我们现在引入了一个新的authentication filter它恰好在授权过滤器之前触发（这很棒，让我们可以更精细地控制如何区分未经身份验证的用户 （http 401） 和经过身份验证的用户，并且碰巧未被授权 （http 403））。

为了尝试这个新authentication filter，我创建了一个新的 asp.net mvc 5.0（VS Express 2013 for Web），并从执行以下操作开始：

public static void RegisterGlobalFilters(GlobalFilterCollection filters)
{
    //filters.Add(new HandleErrorAttribute());
    filters.Add(new CustomAuthenticationAttribute());   //Notice I'm using the word Authentication and not Authorization
}

然后属性：

public class CustomAuthenticationAttribute : ActionFilterAttribute, IAuthenticationFilter 
{
    public void OnAuthentication(AuthenticationContext filterContext)
    {
    }
    public void OnAuthenticationChallenge(AuthenticationChallengeContext filterContext)
    {
        var user = filterContext.HttpContext.User;
        if (user == null || !user.Identity.IsAuthenticated)
        {
            filterContext.Result = new HttpUnauthorizedResult();
        }
    }
}

我创建了一个HomeController.HomeController装饰有[AllowAnonymous]属性。

在从VS 2013启动应用程序之前，我在自定义身份验证属性的两个方法（OnAuthentication和OnAuthenticationChallenge）中设置了两个断点。

启动应用程序时，我遇到了第一个断点（OnAuthentication）。然后，令我惊讶的是，我HomeController Index() ActionResult内的代码被执行，只有在我返回 View（） 之后，我才在 OnAuthenticationChallenge() 方法上遇到断点。

问题：我有两个问题。

问题1）
我的印象是 [AllowAnonymous] 属性会自动绕过我CustomAuthenticationAttribute中的任何代码，但我错了！我是否需要手动检查 [AllowAnonymous] 属性是否存在并跳过任何代码？

问题2）为什么我的HomeController的Index()方法中的代码在OnAuthentication后执行？只是意识到在我返回 View（） 后OnAuthenticationChallenge()中的代码会被执行吗？

我担心的是，如果用户未经过身份验证，我不希望执行 Index() 方法中的代码。

也许我看错了。

如果有人能帮我阐明这一点，那就太好了！

真诚地Vince