Código de respuesta 401 activando la autenticación básica antes del controlador de error jquery ajax

Question

Tengo un escenario donde tengo que manejar la autenticación de solicitudes ajax usando "Autenticación de formularios". Basado en alguna búsqueda y ayuda de mi publicación anterior de stackoverflow, decidí usar el método descrito en here.

La idea es enviar de vuelta una respuesta 401 para solicitudes no autenticadas, y luego manejar eso en el controlador de error AJAX. Así que tengo un controlador de errores AJAX en mi página ASP.NET MVC3 Layout que redirige el navegador a la página de inicio de sesión cuando recibe la respuesta 401 en solicitudes ajax no autenticadas. Aquí está el controlador de errores ajax.

$(document).ajaxError(function (event, jqXHR, ajaxSettings, thrownError) { 
    if (jqXHR.status == "401") { 
     window.location.replace(loginUrl); 
    } 
    .... 
}); 

Todo esto funciona bien en mi servidor local IIS 7.5. Pero en el servidor donde está alojado mi sitio, desafortunadamente, recibo una ventana emergente de autenticación básica sobre solicitudes ajax no autenticadas (por ejemplo, tiempo de espera agotado), antes de que el manejador de errores AJAX se ejecute y redirija el navegador a la página de inicio de sesión. Cuando cancelo la ventana emergente "Autenticación requerida" presionando el botón Cancelar, el controlador de error AJAX se ejecuta y me redireccionan a la página de inicio de sesión.

Entonces, ¿por qué el navegador muestra la ventana emergente de autenticación antes de ejecutar el controlador de errores AJAX?

Editar: el servidor que aloja ejecuta IIS 6.

Answer 1

intenta quitar cabecera WWW-Identificación de la respuesta.

Answer 2

IIS 6 en modo integrado? No creo que exista tal cosa, a menos que esté hablando de autenticación integrada.

Supongo que está utilizando una extensión que no es aspx, por lo que en IIS6 esto significa que ni siquiera está llegando al proceso .net. Entonces, IIS está usando su propia página de respuesta de error 401.

Probablemente, la solución es forzar todas las solicitudes para ser manejadas por el proceso .net.

Su host tendrá que ir a propiedades de IIS> configuración> asignaciones de comodines, y mapear todo al proceso .net.

Answer 3

.net no detectará los errores 401. Lo que hice fue establecer la página de error de IIS de la página 401 predeterminada en mi propia página 401 estática. Desde esa página utilicé javascript para redirigir a otro controlador.

Answer 4

Esta es una pregunta frecuente con una respuesta fácil. el 401 se transforma en un 302 en la página de inicio de sesión mediante el módulo de autorización .net. El navegador nunca ve el 401 solo el 302.

Por supuesto, esto no está jugando muy bien con las llamadas ajax.

La mejor solución que probé y que estoy usando involucra la escritura de un nuevo atributo que está capturando 401 y transformándolo en ... 409 que está atrapado por el manejador jquery ajax.

Es parte de un producto pago por lo que no puedo dar ningún código.

Answer 5

¡Espera! Pensé que habías dicho la solicitud de Ajax, ¿cómo puedes obtener una ventana emergente en una solicitud de Ajax? Estoy bastante seguro de que estás desencadenando la llamada a la URL incluso antes de la llamada AJAX. Desde su escenario, demostró que cuando cancela la ventana emergente, se realiza su solicitud real de ajax y, por lo tanto, puede hacer una redirección ajax.

La idea es enviar de vuelta una respuesta 401 de las solicitudes no autenticadas, y luego manejar que en el gestor de errores de AJAX

Usted puede obtener una respuesta Ajax sólo si se envía una solicitud de ajax, si envía una solicitud http normal, entonces obtendrás una ventana emergente. Esto no tiene nada que ver con .Net o Java :)

Answer 6

La solución here es escribir un HttpModule personalizado para solucionar el comportamiento predeterminado de los frameworks MVC. Una vez que finalmente pude registrar el módulo (cheers David Ebbo) funcionó para mí. Es posible que desee elegir su propio criterio para llamar al SuppressAuthenticationRedirect.

public class SuppressFormsAuthenticationRedirectModule : IHttpModule { 
    private static readonly object SuppressAuthenticationKey = new Object(); 

    public static void SuppressAuthenticationRedirect(HttpContext context) { 
    context.Items[SuppressAuthenticationKey] = true; 
    } 

    public static void SuppressAuthenticationRedirect(HttpContextBase context) { 
    context.Items[SuppressAuthenticationKey] = true; 
    } 

    public void Init(HttpApplication context) { 
    context.PostReleaseRequestState += OnPostReleaseRequestState; 
    context.EndRequest += OnEndRequest; 
    } 

    private void OnPostReleaseRequestState(object source, EventArgs args) { 
    var context = (HttpApplication)source; 
    var response = context.Response; 
    var request = context.Request; 

    if (response.StatusCode == 401 && request.Headers["X-Requested-With"] == 
     "XMLHttpRequest") { 
     SuppressAuthenticationRedirect(context.Context); 
    } 
    } 

    private void OnEndRequest(object source, EventArgs args) { 
    var context = (HttpApplication)source; 
    var response = context.Response; 

    if (context.Context.Items.Contains(SuppressAuthenticationKey)) { 
     response.TrySkipIisCustomErrors = true; 
     response.ClearContent(); 
     response.StatusCode = 401; 
     response.RedirectLocation = null; 
    } 
    } 

    public void Dispose() { 
    } 

    public static void Register() { 
    DynamicModuleUtility.RegisterModule(
     typeof(SuppressFormsAuthenticationRedirectModule)); 
    } 
} 

Answer 7

como Softlion dijo

Ésta es una pregunta común con una respuesta fácil. el 401 se transforma en un 302 en la página de inicio de sesión mediante el módulo de autorización .net. El navegador no ver el 401 sólo el 302.

si está utilizando .NET 4 y posteriores, use el código de abajo

HttpContext.Response.SuppressFormsAuthenticationRedirect = true; 

Es un trabajo muy bien para mí.

Answer 8

Para mí, esto terminó siendo simple. La mayoría de los sitios web de IIS con autenticación anónima también tienen un defecto de Windows autenticación habilitada

Apague la autenticación de Windows que es la que aparece la pantalla de inicio de sesión cuando el sitio detecta el 401 incluso de una llamada AJAX.

<security> <authentication> <anonymousAuthentication enabled="true" /> <windowsAuthentication enabled="false" /> </authentication> </security>