ASP.NET Web API: maneira correta de retornar uma resposta 401 / não autorizada

Eu tenho um site MVC webapi que usa autenticação OAuth / token para autenticar solicitações. Todos os controladores relevantes têm os atributos corretos e a autenticação está funcionando bem.

O problema é que nem todas as solicitações podem ser autorizadas no escopo de um atributo - algumas verificações de autorização devem ser realizadas no código que é chamado pelos métodos do controlador - qual é a maneira correta de retornar uma resposta 401 não autorizada neste caso?

Eu tentei throw new HttpException(401, "Unauthorized access");, mas quando faço isso, o código de status de resposta é 500 e também consigo um rastreamento de pilha. Mesmo em nosso registro DelegatingHandler, podemos ver que a resposta é 500, não 401.

Você deve lançar um HttpResponseExceptionde seu método de API, não HttpException:

throw new HttpResponseException(HttpStatusCode.Unauthorized);

Ou, se você deseja fornecer uma mensagem personalizada:

var msg = new HttpResponseMessage(HttpStatusCode.Unauthorized) { ReasonPhrase = "Oops!!!" };
throw new HttpResponseException(msg);

Basta devolver o seguinte:

return Unauthorized();

Como alternativa às outras respostas, você também pode usar esse código se quiser retornar um IActionResultem um controlador ASP.NET.

ASP.NET

 return Content(HttpStatusCode.Unauthorized, "My error message");

Atualização: ASP.NET Core

O código acima não funciona no ASP.NET Core, você pode usar um destes em seu lugar:

 return StatusCode((int)System.Net.HttpStatusCode.Unauthorized, "My error message");
 return StatusCode(401, "My error message");

Aparentemente, a frase de razão é bastante opcional ( uma resposta HTTP pode omitir a frase de razão? )

Você obtém um código de resposta 500 porque está lançando uma exceção (o HttpException) que indica algum tipo de erro do servidor, essa é a abordagem errada.

Basta definir o código de status de resposta.

Response.StatusCode = (int)HttpStatusCode.Unauthorized;

Para adicionar a uma resposta existente no ASP.NET Core> = 1.0, você pode

return Unauthorized();

return Unauthorized(object value);

Para passar informações ao cliente, você pode fazer uma chamada como esta:

return Unauthorized(new { Ok = false, Code = Constants.INVALID_CREDENTIALS, ...});

No cliente além da resposta 401 você também terá os dados passados. Por exemplo, na maioria dos clientes, você pode await response.json()obtê-lo.

Em .Net Core você pode usar

return new ForbidResult();

ao invés de

return Unauthorized();

que tem a vantagem de redirecionar para a página não autorizada padrão (Conta / Acesso Negado) em vez de fornecer um 401 direto

para alterar o local padrão, modifique seu startup.cs

services.AddAuthentication(options =>...)
            .AddOpenIdConnect(options =>...)
            .AddCookie(options =>
            {
                options.AccessDeniedPath = "/path/unauthorized";

            })

você pode usar o código a seguir no asp.net core 2.0:

public IActionResult index()
{
     return new ContentResult() { Content = "My error message", StatusCode = (int)HttpStatusCode.Unauthorized };
}

Você também segue este código:

var response = new HttpResponseMessage(HttpStatusCode.NotFound)
{
      Content = new StringContent("Users doesn't exist", System.Text.Encoding.UTF8, "text/plain"),
      StatusCode = HttpStatusCode.NotFound
 }
 throw new HttpResponseException(response);