ASP.NET Web API: forma correcta de devolver una respuesta 401 / no autorizada

Tengo un sitio web MVC que usa autenticación OAuth / token para autenticar solicitudes. Todos los controladores relevantes tienen los atributos correctos y la autenticación funciona correctamente.

El problema es que no todas las solicitudes se pueden autorizar en el alcance de un atributo; algunas verificaciones de autorización deben realizarse en el código al que llaman los métodos del controlador; ¿cuál es la forma correcta de devolver una respuesta 401 no autorizada en este caso?

Lo he intentado throw new HttpException(401, "Unauthorized access");, pero cuando hago esto, el código de estado de respuesta es 500 y también obtengo un seguimiento de la pila. Incluso en nuestro DelegatingHandler de registro podemos ver que la respuesta es 500, no 401.

Debería lanzar un HttpResponseExceptiondesde su método API, no HttpException:

throw new HttpResponseException(HttpStatusCode.Unauthorized);

O, si desea proporcionar un mensaje personalizado:

var msg = new HttpResponseMessage(HttpStatusCode.Unauthorized) { ReasonPhrase = "Oops!!!" };
throw new HttpResponseException(msg);

Simplemente devuelva lo siguiente:

return Unauthorized();

Como alternativa a las otras respuestas, también puede usar este código si desea devolver un IActionResultdentro de un controlador ASP.NET.

ASP.NET

 return Content(HttpStatusCode.Unauthorized, "My error message");

Actualización: ASP.NET Core

El código anterior no funciona en ASP.NET Core, puede usar uno de estos en su lugar:

 return StatusCode((int)System.Net.HttpStatusCode.Unauthorized, "My error message");
 return StatusCode(401, "My error message");

Aparentemente, la frase de motivo es bastante opcional ( ¿Puede una respuesta HTTP omitir la frase de motivo? )

Obtiene un código de respuesta 500 porque está lanzando una excepción (the HttpException) que indica algún tipo de error del servidor, este es el enfoque incorrecto.

Simplemente configure el código de estado de respuesta .eg

Response.StatusCode = (int)HttpStatusCode.Unauthorized;

Para agregar a una respuesta existente en ASP.NET Core> = 1.0, puede

return Unauthorized();

return Unauthorized(object value);

Para pasar información al cliente, puede hacer una llamada como esta:

return Unauthorized(new { Ok = false, Code = Constants.INVALID_CREDENTIALS, ...});

En el cliente, además de la respuesta 401, también tendrá los datos pasados. Por ejemplo, en la mayoría de los clientes puede await response.json()conseguirlo.

En .Net Core puede usar

return new ForbidResult();

en vez de

return Unauthorized();

que tiene la ventaja de redirigir a la página no autorizada predeterminada (Account / AccessDenied) en lugar de dar un 401 directo

para cambiar la ubicación predeterminada modifique su startup.cs

services.AddAuthentication(options =>...)
            .AddOpenIdConnect(options =>...)
            .AddCookie(options =>
            {
                options.AccessDeniedPath = "/path/unauthorized";

            })

puede usar el código de seguimiento en asp.net core 2.0:

public IActionResult index()
{
     return new ContentResult() { Content = "My error message", StatusCode = (int)HttpStatusCode.Unauthorized };
}

También sigues este código:

var response = new HttpResponseMessage(HttpStatusCode.NotFound)
{
      Content = new StringContent("Users doesn't exist", System.Text.Encoding.UTF8, "text/plain"),
      StatusCode = HttpStatusCode.NotFound
 }
 throw new HttpResponseException(response);