MVC 5.0 [AllowAnonymous] et le nouveau IAuthenticationFilter

Quand je crée un nouveau asp.net mvc 4.0 de l'application, un des première chose que je fais, est créer et définir une autorisation personnalisée global filter comme ceci:

//FilterConfig.cs
public static void RegisterGlobalFilters(GlobalFilterCollection filters)
{
 //filters.Add(new HandleErrorAttribute());
 filters.Add(new CustomAuthorizationAttribute());
}

puis je crée le CustomAuthorizationAttribute comme ceci:

//CustomAuthorizationAttribute.cs
    protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
    {
        if (filterContext.HttpContext.Request.IsAjaxRequest())  
        {
            //Handle AJAX requests
            filterContext.HttpContext.Response.StatusCode = 403;
            filterContext.Result = new JsonResult { JsonRequestBehavior = JsonRequestBehavior.AllowGet };
        }
        else
        {
            //Handle regular requests
            base.HandleUnauthorizedRequest(filterContext); //let FormsAuthentication make the redirect based on the loginUrl defined in the web.config (if any)
        }
    }

j'ai deux contrôleurs: HomeController et SecureController

le HomeController est décoré avec le [AllowAnonymous] l'attribut.

le contrôleur de sécurité est décoré avec le [AllowAnonymous] attribut.

Index() ActionResultHomeController affiche une Vue avec un simple bouton.

quand je clique sur le bouton, je fais un appel ajax à une méthode GetData () qui vit à l'intérieur du SecureController comme ceci:

$("#btnButton").click(function () {
    $.ajax({
        url: '@Url.Action("GetData", "Secure")',
        type: 'get',
        data: {param: "test"},
        success: function (data, textStatus, xhr) {
            console.log("SUCCESS GET");
        }
    });
});

inutile de dire, quand je clique sur le bouton, je déclenche le CustomAuthorizationAttribute parce que c'est un filtre global, mais aussi parce que le SecureController n'est pas décoré avec le [AllowAnonymous] l'attribut.

Ok, j'en ai fini avec mon introduction...

Avec l'introduction de asp.net mvc 5.0, nous sommes maintenant à un nouveau authentication filter qui se déclenche avant le filtre d'autorisation (ce qui est génial et nous donne un contrôle plus granulaire sur la façon dont je peux différencier un utilisateur qui N'est pas authentifié (http 401) d'un utilisateur qui est authentifié et qui se trouve ne pas être autorisé (http 403)).

afin de donner ce nouveau authentication filter un essai, j'ai créé un nouveau asp.net mvc 5.0 (VS Express 2013 Pour Web) et a commencé par faire ce qui suit:

public static void RegisterGlobalFilters(GlobalFilterCollection filters)
{
    //filters.Add(new HandleErrorAttribute());
    filters.Add(new CustomAuthenticationAttribute());   //Notice I'm using the word Authentication and not Authorization
}

, l'attribut:

public class CustomAuthenticationAttribute : ActionFilterAttribute, IAuthenticationFilter 
{
    public void OnAuthentication(AuthenticationContext filterContext)
    {

    }

    public void OnAuthenticationChallenge(AuthenticationChallengeContext filterContext)
    {
        var user = filterContext.HttpContext.User;
        if (user == null || !user.Identity.IsAuthenticated)
        {
            filterContext.Result = new HttpUnauthorizedResult();
        }
    }
}

j'ai créé un HomeController. HomeController est décoré avec le [AllowAnonymous] l'attribut.

avant de lancer L'application à partir de VS 2013, j'ai mis deux points de rupture à l'intérieur des deux méthodes de mon CustomAuthenticationAttribute (OnAuthentication et OnAuthenticationChallenge).

quand je lance l'application, j'atteins le premier point de rupture (OnAuthentication). Alors, à mon surprise, le code dans le Index() ActionResult mon HomeController se fait exécuter et ce n'est qu'après avoir retourné le View() que j'ai atteint le point de rupture sur le OnAuthenticationChallenge() méthode.

Questions: J'ai deux questions.

Question 1)

J'étais sous l'impression que l' [AllowAnonymous] attribut automatiquement contourner le code dans mon CustomAuthenticationAttribute mais j'avais tort! Je dois manuellement case pour les l'existence de l' [AllowAnonymous] attribuez et sautez tout code?

Question 2) Pourquoi le code à l'intérieur de mon Index() méthode de mon HomeController se fait exécuter aprèsOnAuthentication? Seulement pour réaliser qu'après que je renvoie View () le code à l'intérieur du OnAuthenticationChallenge() est exécuté?

ma préoccupation est que je ne veux pas le code de la Index() méthode pour obtenir exécuté si l'utilisateur n'est PAS authentifié.

peut-être que je regarde ça de travers façon.

Si quelqu'un peut m'aider à faire la lumière sur ce, je veux bien!

sincèrement Vince