Question

我不了解OnAuthentication和OnAuthenticationChallenge的目的/区别，除了在执行操作之前运行OnAuthentication并且OnAuthenticationChallenge在执行操作之后但在处理操作结果之前运行。

似乎其中任何一个（OnAuthentication或OnAuthenticationChallenge）都可以执行身份验证所需的全部操作。为什么需要2种方法？

我的理解是OnAuthentication是我们放置身份验证逻辑（或者这个逻辑应该在实际操作方法中？），连接到数据存储并检查用户帐户的地方。 OnAuthenticationChallenge是我们在未经过身份验证的情况下重定向到登录页面的地方。它是否正确？为什么我不能重定向OnAuthentication并且不实现OnAuthenticationChallenge。我知道有些东西我不知道;有人可以向我解释一下吗？

另外，存储经过身份验证的用户的最佳做法是什么，以便后续请求不必连接到db以再次检查用户？

请记住，我是ASP.NET MVC的新手。

Answer 1

这些方法实际上用于不同目的：

IAuthenticationFilter.OnAuthentication应该用于设置主体，主体是标识用户的对象。

您还可以在此方法中设置结果，如HttpUnauthorisedResult（这样可以避免执行其他授权过滤器）。虽然这是可能的，但我喜欢不同过滤器之间的关注点分离。
IAuthenticationFilter.OnAuthenticationChallenge用于在结果返回给用户之前向结果添加“质询”。
- 这总是在结果返回给用户之前执行，这意味着它可能在不同requets上的管道的不同点执行。请参阅下面ControllerActionInvoker.InvokeAction的说明。
- 将此方法用于“授权”目的（如检查用户是否已登录或担任某个角色）可能不是一个好主意，因为它可能会在控制器操作代码之后执行，因此您可能已更改在执行此操作之前，db中有一些内容！
- 我们的想法是，此方法可用于贡献结果，而不是执行关键授权检查。例如，您可以使用它将HttpUnauthorisedResult转换为基于某些逻辑的重定向到不同的登录页面。或者您可以保留一些用户更改，将其重定向到另一个页面，您可以在其中请求其他确认/信息，并根据答案最终提交或放弃这些更改。
IAuthorizationFilter.OnAuthorization仍应用于执行身份验证检查，例如检查用户是否已登录或属于某个角色。

如果您查看ControllerActionInvoker.InvokeAction的源代码，则可以更好地了解。执行操作时会发生以下情况：

IAuthenticationFilter.OnAuthentication。如果在AuthenticationContext中更新了主体，则会更新context.HttpContext.User和Thread.CurrentPrincipal。
如果任何验证过滤器设置了结果，例如设置404结果，则为每个验证过滤器调用OnAuthenticationChallenge，这将允许在返回之前更改结果。（例如，您可以将其转换为重定向以进行登录）。在挑战之后，返回结果而不进行第3步。
如果没有任何身份验证过滤器设置结果，则每IAuthorizationFilter个OnAuthorization方法都会执行。
与步骤2中一样，如果任何授权过滤器设置了结果，例如设置404结果，则会为每个身份验证过滤器调用OnAuthenticationChallenge。在挑战之后，返回结果而不进行第3步。
如果没有授权过滤器设置结果，那么它将继续执行操作（考虑请求验证和任何操作过滤器）
执行操作后，在返回结果之前，会为每个身份验证过滤器调用OnAuthenticationChallenge

我在此处复制了ControllerActionInvoker.InvokeAction的当前代码作为参考，但您可以使用上面的链接查看最新版本：

public virtual bool InvokeAction(ControllerContext controllerContext, string actionName)
{
    if (controllerContext == null)
    {
        throw new ArgumentNullException("controllerContext");
    }

    Contract.Assert(controllerContext.RouteData != null);
    if (String.IsNullOrEmpty(actionName) && !controllerContext.RouteData.HasDirectRouteMatch())
    {
        throw new ArgumentException(MvcResources.Common_NullOrEmpty, "actionName");
    }

    ControllerDescriptor controllerDescriptor = GetControllerDescriptor(controllerContext);
    ActionDescriptor actionDescriptor = FindAction(controllerContext, controllerDescriptor, actionName);

    if (actionDescriptor != null)
    {
        FilterInfo filterInfo = GetFilters(controllerContext, actionDescriptor);

        try
        {
            AuthenticationContext authenticationContext = InvokeAuthenticationFilters(controllerContext, filterInfo.AuthenticationFilters, actionDescriptor);

            if (authenticationContext.Result != null)
            {
                // An authentication filter signaled that we should short-circuit the request. Let all
                // authentication filters contribute to an action result (to combine authentication
                // challenges). Then, run this action result.
                AuthenticationChallengeContext challengeContext = InvokeAuthenticationFiltersChallenge(
                    controllerContext, filterInfo.AuthenticationFilters, actionDescriptor,
                    authenticationContext.Result);
                InvokeActionResult(controllerContext, challengeContext.Result ?? authenticationContext.Result);
            }
            else
            {
                AuthorizationContext authorizationContext = InvokeAuthorizationFilters(controllerContext, filterInfo.AuthorizationFilters, actionDescriptor);
                if (authorizationContext.Result != null)
                {
                    // An authorization filter signaled that we should short-circuit the request. Let all
                    // authentication filters contribute to an action result (to combine authentication
                    // challenges). Then, run this action result.
                    AuthenticationChallengeContext challengeContext = InvokeAuthenticationFiltersChallenge(
                        controllerContext, filterInfo.AuthenticationFilters, actionDescriptor,
                        authorizationContext.Result);
                    InvokeActionResult(controllerContext, challengeContext.Result ?? authorizationContext.Result);
                }
                else
                {
                    if (controllerContext.Controller.ValidateRequest)
                    {
                        ValidateRequest(controllerContext);
                    }

                    IDictionary<string, object> parameters = GetParameterValues(controllerContext, actionDescriptor);
                    ActionExecutedContext postActionContext = InvokeActionMethodWithFilters(controllerContext, filterInfo.ActionFilters, actionDescriptor, parameters);

                    // The action succeeded. Let all authentication filters contribute to an action result (to
                    // combine authentication challenges; some authentication filters need to do negotiation
                    // even on a successful result). Then, run this action result.
                    AuthenticationChallengeContext challengeContext = InvokeAuthenticationFiltersChallenge(
                        controllerContext, filterInfo.AuthenticationFilters, actionDescriptor,
                        postActionContext.Result);
                    InvokeActionResultWithFilters(controllerContext, filterInfo.ResultFilters,
                        challengeContext.Result ?? postActionContext.Result);
                }
            }
        }
        catch (ThreadAbortException)
        {
            // This type of exception occurs as a result of Response.Redirect(), but we special-case so that
            // the filters don't see this as an error.
            throw;
        }
        catch (Exception ex)
        {
            // something blew up, so execute the exception filters
            ExceptionContext exceptionContext = InvokeExceptionFilters(controllerContext, filterInfo.ExceptionFilters, ex);
            if (!exceptionContext.ExceptionHandled)
            {
                throw;
            }
            InvokeActionResult(controllerContext, exceptionContext.Result);
        }

        return true;
    }

    // notify controller that no method matched
    return false;
}

至于在设置主体时没有在每个请求上命中数据库，你可以使用某种服务器端缓存。

实现MVC 5 IAuthenticationFilter

1 个答案: