当站点具有全局AuthorizeAttribute时，ASP.NET允许匿名访问OData $ metadata

Question

我有一个ASP.NET OData站点，该站点在WebApiConfig文件中具有以下内容：

config.Filters.Add(new AuthorizeAttribute())

这将强制所有调用者在调用任何控制器之前进行身份验证。
不幸的是，这也迫使用户认证访问“ $ metadata” URL。
我需要全局强制对所有控制器访问进行身份验证，同时还允许匿名访问“ $ metadata” URL。

Answer 1

我知道这个问题已经得到解答，但是我对接受的答案有两个担忧：

• 假设元数据端点不会改变
• 如果添加/移动了端点，则需要更新代码
• 不处理根端点（不带/ $ meatdata）

我同意创建自己的AuthorizeAttribute ，但是我将以不同的方式实现该方法。

    protected override bool IsAuthorized(HttpActionContext actionContext)
    {
        if (actionContext.ControllerContext.Controller is System.Web.OData.MetadataController)
            return true;

        return base.IsAuthorized(actionContext);
    }

我的解决方案只是检查是否正在访问的控制器是OData的MetadataController。 如果是这样，则允许任何人访问，否则，请通过常规授权检查。

Answer 2

创建一个从AuthorizeAttribute派生的自定义过滤器，并按如下所示重写IsAuthorized方法：

public class CustomAuthorizationFilter : AuthorizeAttribute
{
    protected override bool IsAuthorized(HttpActionContext actionContext)
    {
        if (actionContext.Request.RequestUri.AbsolutePath == "/$metadata" ||
            actionContext.Request.RequestUri.AbsolutePath == "/%24metadata")
        {
            return true;
        }

        return base.IsAuthorized(actionContext);
    }
}

注册过滤器：

config.Filters.Add(new CustomAuthorizationFilter());

Answer 3

我想再添加一个选项。 如果替换默认的Web API依赖关系解析器（HttpConfiguration.DependencyResolver = YourIDependencyResolver），则可以拦截对元数据控制器（ODataMetadataController或MetadataController，具体取决于OData库的版本）的请求，并将其替换为您自己的实现，如下所示：

[AllowAnonymous, OverrideAuthorization]
public class AnonymousODataMetadataController : ODataMetadataController
{
    protected override void Initialize(HttpControllerContext controllerContext)
    {
        // You must replace the controller descriptor because it appears
        // that the AuthorizeAttribute is pulled from the 
        // controllerContext.ControllerDescriptor.ControllerType (which 
        // is the original type) instead of from controlContext.Controller
        // (which is the type we injected).
        controllerContext.ControllerDescriptor = new HttpControllerDescriptor
        {
            Configuration = controllerContext.Configuration,
            ControllerName = GetType().Name,
            ControllerType = GetType()
        };

        base.Initialize(controllerContext);
    }
}

有关Web API依赖关系注入系统的信息，请参见ASP.NET Web API 2中的依赖关系注入。