Estoy haciendo una llamada ajax usando jquery a una acción del controlador asp.net mvc:
[AcceptVerbs(HttpVerbs.Post)] public ActionResult GetWeek(string startDay) { var daysOfWeek = CompanyUtility.GetWeek(User.Company.Id, startDay); return Json(daysOfWeek); }Cuando se agote el tiempo de sesión, esta llamada fallará, ya que el objeto Usuario se almacena en la sesión. Creé un atributo de autorización personalizado para verificar si se perdió la sesión y redirigir a la página de inicio de sesión. Esto funciona bien para solicitudes de página, sin embargo, no funciona para solicitudes ajax, ya que no puede redirigir desde una solicitud ajax:
[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method)] public class AuthorizeUserAttribute : AuthorizeAttribute { protected override bool AuthorizeCore(HttpContextBase httpContext) { if (!httpContext.Request.IsAjaxRequest()) {//validate http request. if (!httpContext.Request.IsAuthenticated || httpContext.Session["User"] == null) { FormsAuthentication.SignOut(); httpContext.Response.Redirect("~/?returnurl=" + httpContext.Request.Url.ToString()); return false; } } return true; } }Leí en otro hilo que cuando el usuario no está autenticado y realiza una solicitud ajax, debe establecer el código de estado en 401 (no autorizado) y luego verificarlo en js y redirigirlo a la página de inicio de sesión. Sin embargo, no puedo hacer que esto funcione:
protected override void OnActionExecuting(ActionExecutingContext filterContext) { if (Request.IsAjaxRequest() && (!Request.IsAuthenticated || User == null)) { filterContext.RequestContext.HttpContext.Response.StatusCode = 401; } else { base.OnActionExecuting(filterContext); } }Básicamente, lo configurará en 401, pero luego continuará con la acción del controlador y arrojará una referencia de objeto no configurada como una instancia de un error de objeto, que luego devuelve el error 500 al js del lado del cliente. Si cambio mi atributo Autorizar personalizado para validar las solicitudes ajax también y devuelvo falso para aquellas que no están autenticadas, eso hace que la solicitud ajax devuelva mi página de inicio de sesión, que obviamente no funciona.
¿Cómo hago para que esto funcione?
Podría escribir un atributo personalizado [Authorize] que devolvería JSON en lugar de lanzar una excepción 401 en caso de acceso no autorizado que permitiría que los scripts del cliente manejen el escenario con gracia:
[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method)] public class MyAuthorizeAttribute : AuthorizeAttribute { protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext) { if (filterContext.HttpContext.Request.IsAjaxRequest()) { filterContext.Result = new JsonResult { Data = new { // put whatever data you want which will be sent // to the client message = "sorry, but you were logged out" }, JsonRequestBehavior = JsonRequestBehavior.AllowGet }; } else { base.HandleUnauthorizedRequest(filterContext); } } }luego decora tu controlador/acciones con él y en el cliente:
$.get('@Url.Action("SomeAction")', function (result) { if (result.message) { alert(result.message); } else { // do whatever you were doing before with the results } });No cambiaría JsonRequestBehavior a AllowGet. En cambio, sugiero:
[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method)] public sealed class MyAuthorizeAttribute : AuthorizeAttribute { public override void OnAuthorization(AuthorizationContext filterContext) { base.OnAuthorization(filterContext); OnAuthorizationHelp(filterContext); } internal void OnAuthorizationHelp(AuthorizationContext filterContext) { if (filterContext.Result is HttpUnauthorizedResult) { if (filterContext.HttpContext.Request.IsAjaxRequest()) { filterContext.HttpContext.Response.StatusCode = 401; filterContext.HttpContext.Response.End(); } } } }y agregue el controlador de errores global js ajax:
$(document).ajaxError(function (xhr, props) { if (props.status === 401) { location.reload(); } }Aunque esto ya se respondió, creo que esta es la respuesta más corta y dulce si está utilizando .NET 4.5. Pequeña propiedad llamada SuppressFormsAuthenticationRedirect que se agregó. Establézcalo en verdadero y no realizará la redirección 302 a la página de inicio de sesión.
[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, Inherited = true, AllowMultiple = true)] public class AjaxAuthorizeAttribute : AuthorizeAttribute { protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext) { // returns a 401 already base.HandleUnauthorizedRequest(filterContext); if (filterContext.HttpContext.Request.IsAjaxRequest()) { // we simply have to tell mvc not to redirect to login page filterContext.HttpContext.Response.SuppressFormsAuthenticationRedirect = true; } } }Suponiendo que planea manejar la devolución de llamada fallida/error de las solicitudes ajax, en la que obtendrá un 401 no autorizado.