Warum verlängern meine AJAX-Anfragen keine OWIN MVC-Sitzung?

Question

Wir haben eine ASP.NET MVC 5-Anwendung, die Formularauthentifizierung mit gleitendem Ablauf verwendet hat. Wir haben vor Kurzem die OWIN-Cookie-Authentifizierung aktiviert und es treten Probleme auf, wenn unsere Sitzungen nicht ordnungsgemäß erweitert werden.

Zuvor konnte eine Sitzung von einer AJAX xhr-Anforderung erweitert werden. Mit dieser Konfiguration werden sie jedoch nicht erweitert. Ich erhalte für jede Anfrage (sowohl GET als auch POST) eine 200, die verlängert werden sollte, selbst nachdem der Server die Sitzung beendet hat.

Die aktuelle Einstellung ist:

app.SetDefaultSignInAsAuthenticationType(CookieAuthenticationDefaults.AuthenticationType); 

UrlHelper url = new UrlHelper(HttpContext.Current.Request.RequestContext); 
app.UseCookieAuthentication(new CookieAuthenticationOptions() 
{ 
    AuthenticationType = "Cookies", 
    CookieSecure = CookieSecureOption.SameAsRequest, 
    CookieName = Constants.CatalystPortalCookieName, 
    LoginPath = new PathString(url.Action(nameof(LoginController.Index), "Login")), 
    SlidingExpiration = true, 
    ExpireTimeSpan = TimeSpan.FromMinutes(20), 
    CookiePath = "/", 
}); 

Wenn ich einen Link klicken, um die gesamte Seite verursacht als Dokument Antwort geladen werden, der Server jedoch ordnungsgemäß die Sitzung erstreckt.

Answer 1

Ich endete mit einigen fehlerhaften Annahmen. Die AJAX-Anfragen wurden verlängert. Die Rückkehr der 200 warf mich ab. Nach einem Blick mit Fiedler auf der tatsächlichen Antwort, sah ich, dass auf OWIN mit der Änderung wird die 401 tatsächlich in der Antwort bewegt:

X-Responded-JSON: {"status":401,"headers":{...foo...}} 

So beendeten wir die Einrichtung nur den Status der Antwort auf 401 zurück. Das ist wahrscheinlich schrecklich, aber es passt zu unseren Bedürfnissen.

protected void Application_EndRequest() { 
    var context = new HttpContextWrapper(Context); 
    var header = context.Response.Headers["X-Responded-JSON"]; 
    if (header != null && header.Contains("\"status\":401")) { 
     Context.Response.Clear(); 
     Context.Response.StatusCode = 401; 
    } 

Hier ist wohl eine robustere Lösung: OWIN: unauthorised webapi call returning login page rather than 401