使用HttpModule的Web API身份验证

Question

我正在构建一个WebApi应用程序，该应用程序需要通过验证来自发送的HTTP标头的凭据来针对每个请求进行身份验证。

我一直希望为此使用HttpModule，但是当我调试时，模块只在我启动应用程序时才被命中。我可以在控制器动作中主动触发请求，并且它永远不会触及HttpModule（因此从不检查凭证）。

我已经激活了的HttpModule在web.config中像这样：

<system.webServer> 
    <modules> 
     <add name="BasicAuthHttpModule" type="MyAssembly.Modules.BasicAuthHttpModule"/> 
    </modules> 

当我打电话控制器为什么模块无法运行 - 是这种方法不适用于认证的WebAPI应用程序吗？我无法在我的情况下使用IIS身份验证。

Answer 1

如果你的目标是确保每一个传入的HTTP请求有相应的基本验证头，尝试添加runAllManagedModulesForAllRequests属性模块中的配置文件：

<modules runAllManagedModulesForAllRequests="true"> 
    <add name="BasicAuthHttpModule" type="MyAssembly.Modules.BasicAuthHttpModule"/> 
</modules> 

一个更合适的解决方案是使用动作过滤器授权：

http://www.ryadel.com/en/http-basic-authentication-asp-net-mvc-using-custom-actionfilter/