ASP.NET истечение сессии MVC

Вчера я задавал аналогичный вопрос. Вот мое решение:

Измененный атрибут авторизации:

public class OptionalAuthorizeAttribute : AuthorizeAttribute
{
    private class Http403Result : ActionResult
    {
        public override void ExecuteResult(ControllerContext context)
        {
            // Set the response code to 403.
            context.HttpContext.Response.StatusCode = 403;
            context.HttpContext.Response.Write(CTRes.AuthorizationLostPleaseLogOutAndLogInAgainToContinue);
        }
    }

    private readonly bool _authorize;

    public OptionalAuthorizeAttribute()
    {
        _authorize = true;
    }

    //OptionalAuthorize is turned on on base controller class, so it has to be turned off on some controller. 
    //That is why parameter is introduced.
    public OptionalAuthorizeAttribute(bool authorize)
    {
        _authorize = authorize;
    }

    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        //When authorize parameter is set to false, not authorization should be performed.
        if (!_authorize)
            return true;

        var result = base.AuthorizeCore(httpContext);

        return result;
    }

    protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
    {
        if (filterContext.RequestContext.HttpContext.Request.IsAjaxRequest())
        {
            //Ajax request doesn't return to login page, it just returns 403 error.
            filterContext.Result = new Http403Result();
        }
        else
            base.HandleUnauthorizedRequest(filterContext);
    }
}

HandleUnauthorizedRequest переопределен, поэтому он возвращает Http403Result при использовании Ajax. Http403Result изменяет StatusCode на 403 и в ответ возвращает сообщение пользователю. В атрибуте есть дополнительная логика (параметр authorize ), потому что я включаю [Authorize] в базовом контроллере и отключаю его на некоторых страницах.

Другой важной частью является глобальная обработка этого ответа на стороне клиента. Это то, что я поместил в Site.Master:

<script type="text/javascript">
    $(document).ready(
        function() {
            $("body").ajaxError(
                function(e,request) {
                    if (request.status == 403) {
                        alert(request.responseText);
                        window.location = '/Logout';
                    }
                }
            );
        }
    );
</script>

Я размещаю ГЛОБАЛЬНЫЙ обработчик ошибок ajax, и когда evert $. Post завершается с ошибкой 403, появляется ответное сообщение и пользователь перенаправляется на страницу выхода. Теперь мне не нужно обрабатывать ошибки в каждом запросе $. Post , потому что он обрабатывается глобально.

Почему 403, а не 401? 401 обрабатывается внутри MVC framework (поэтому перенаправление на страницу входа выполняется после неудачной авторизации).

Что вы думаете об этом?

РЕДАКТИРОВАТЬ:

Об отказе от атрибута [Authorize]: [Authorize] - это не только проверка Identity.IsAuthenticated.Он также обрабатывает кеширование страниц (поэтому вы не кешируете материал, требующий аутентификации) и перенаправление. Копировать этот код не нужно.

Вы можете изучить AjaxOptions, которые можно установить в Ajax.BeginForm (). Существует параметр OnBegin, который можно связать с функцией javascript, которая может вызывать метод контроллера, чтобы подтвердить, что сеанс все еще действителен, а если нет, перенаправить на страницу входа в систему, используя window.location .

Отчасти проблема, похоже, в том, что вы позволяете фреймворку делать все. Я бы не стал украшать ваш метод AJAX атрибутом [Authorize] . Вместо этого проверьте User.Identity.IsAuthenticated и, если он вернет false, создайте разумное сообщение об ошибке.