可以'；设置Thread和HttpContext主体后，不能访问或授权ASP.Net Web API

对授权和身份验证很陌生，所以我可能错过了一些重要的步骤。。。只需查看大量参考资料、指南和教程。

我可能需要在我的WebApiConfig中做些什么？

public static class WebApiConfig
{
    public static void Register(HttpConfiguration config)
    {
        config.MapHttpAttributeRoutes();
        config.Routes.MapHttpRoute(
            name: "DefaultApi",
            routeTemplate: "api/{controller}/{id}",
            defaults: new { id = RouteParameter.Optional }
        );
    }
}

或者可能在我的Global.asax:中

public class WebApiApplication : System.Web.HttpApplication
{
    private const string RootDocument = "/index.html";
    protected void Application_Start()
    {
        GlobalConfiguration.Configure(WebApiConfig.Register);
    }
    protected void Application_BeginRequest(Object sender, EventArgs e)
    {
        // Stuff to redirect to index.html unless it's an api url
    }
}

这是一个ASP.NETWeb API项目，目标是.NETFramework4.5.2，带有Angular2前端，我在前端不手动执行任何操作，也许我需要这样做？我的本地存储、会话存储和Cookie在浏览器上都是空的。

我正在访问的SQL Server有一个非常简单的用户登录方法，它返回一个角色和userId，我在这里的存储库中调用它：

    public static DbUser Logon(AuthUser user)
    {
        var parameters = new List<SqlParameter>();
        {
            // Add parameters, get the DbUser (contains role and userId), and return the DbUser
        }
    }

登录前端使用Angular 2构建，并在提交到以下API方法时使用用户名和密码进行HttpPost调用，创建标识和主体，并设置Thread和HttpContext:

    // POST api/<controller>
    [HttpPost]
    public TokenUser Post(AuthUser user)
    {
        var dbUser = DBAccess.Repository.User.Logon(user);
        var identity = new ClaimsIdentity();
        identity.AddClaim(new Claim(ClaimTypes.Name, "CwRole"));
        identity.AddClaim(new Claim(ClaimTypes.Role, dbUser.AccessLevel));
        identity.AddClaim(new Claim(ClaimTypes.UserData, dbUser.ID.ToString()));
        var principal = new ClaimsPrincipal(identity);
        Thread.CurrentPrincipal = principal;
        if (HttpContext.Current != null)
            HttpContext.Current.User = principal;
        // Other stuff and a return statement =>
        // Note I'm not actually doing anything manually with the token on the front end
        // which may be why I'm not seeing it in the debugger's Resources tab...
    }

当我浏览这些代码时，我可以清楚地看到Thread.CurrentPrincipal和HttpContext.Current.User都被填充了，这看起来很合适。

但是，如果我用[Authorize]属性修饰一个操作，无论是否登录，我都无法访问它。

        // Works fine
        public IEnumerable<ItemGroup> Get()
        {
            return DBAccess.Repository.Item.GetItemGroups();
        }
        // Responds with 401 (Unauthorized) no matter what
        [Authorize]
        public IEnumerable<RequestItem> Get()
        {
            return DBAccess.Repository.Item.GetRequestItems();
        }

因此，我创建了这些方法，在上述登录过程后通过浏览器url访问它们，并逐步完成，结果发现用户从未被实际设置（声明都是空的，等等…）

public class AuthController : ApiController
{
    public bool Get()
    {
        // Stepping through, looks like User.Identity is not even set...
        var authenticated = User.Identity.IsAuthenticated;
        return authenticated;
    }
    public bool Get(string role)
    {
        // As a matter of fact, User doesn't have any claims or anything...
        var user = User;
        return user != null && user.IsInRole(role);
    }
}

那么，在设置主体之后，我缺少了什么步骤来使其可访问呢？我是否需要使用WebApi内置的"用户"方法以外的其他方法访问它，或者在我的配置上设置一些内容，或者在前端手动执行一些操作？