同一项目中MVC视图发起的Ajax请求如何正确授权Web API？

看起来你已经搭建好了一个基于OWIN身份验证的MVC+Web API项目，并且给Web API的Delete接口加上了角色授权，这里给你几个关键的验证和优化点，帮你确保授权逻辑稳定运行：

1. 确认OWIN中间件的配置顺序 #

OWIN中间件的执行顺序直接影响身份验证的有效性，一定要把身份验证中间件放在Web API和MVC路由配置之前注册，否则Web API的[Authorize]特性无法正确读取用户的身份信息。参考正确的Startup.cs配置顺序：

public void Configuration(IAppBuilder app)
{
    // 第一步：配置Cookie身份验证
    app.UseCookieAuthentication(new CookieAuthenticationOptions
    {
        AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
        LoginPath = new PathString("/Account/Login"),
        Provider = new CookieAuthenticationProvider()
    });

    // 第二步：配置Web API路由
    HttpConfiguration apiConfig = new HttpConfiguration();
    apiConfig.MapHttpAttributeRoutes();
    app.UseWebApi(apiConfig);

    // 第三步：配置MVC路由
    RouteConfig.RegisterRoutes(RouteTable.Routes);
}

2. 确保Ajax请求正确携带身份凭证 #

因为是通过Ajax发起Delete请求，要确认请求自动携带了当前用户的身份Cookie。默认情况下jQuery的Ajax会自动带上同域Cookie，但如果有特殊场景（比如子域名调用），需要显式开启凭证携带：

$.ajax({
    url: '/api/YourEntity/' + id,
    type: 'DELETE',
    xhrFields: {
        withCredentials: true // 确保携带Cookie
    },
    success: function() {
        // 删除成功后更新列表视图
        $('#item-' + id).remove();
    },
    error: function(xhr) {
        // 处理授权失败：比如401跳转登录，403提示无权限
        if (xhr.status === 401) {
            window.location.href = '/Account/Login';
        } else if (xhr.status === 403) {
            alert('你没有权限执行此操作');
        }
    }
});

3. 优化授权失败的响应逻辑 #

默认情况下，OWIN的Cookie认证在遇到401时会自动跳转到登录页，但这对Ajax请求非常不友好（会把登录页HTML返回给Ajax）。可以自定义OnApplyRedirect事件，判断是否为Ajax请求，避免不必要的重定向：

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
    LoginPath = new PathString("/Account/Login"),
    Provider = new CookieAuthenticationProvider
    {
        OnApplyRedirect = context =>
        {
            // 判断是否为Ajax请求
            if (!IsAjaxRequest(context.Request))
            {
                context.Response.Redirect(context.RedirectUri);
            }
            // 否则直接返回401，让前端处理
        }
    }
});

// 辅助方法：判断是否为Ajax请求
private bool IsAjaxRequest(IOwinRequest request)
{
    var headers = request.Headers;
    return headers != null && headers["X-Requested-With"] == "XMLHttpRequest";
}

4. 验证角色常量的一致性 #

确保UserRoles.Admin这个常量和你系统中实际创建的角色名称完全一致（ASP.NET角色验证默认是大小写敏感的）。建议把角色名统一定义在静态类中，避免硬编码错误：

public static class UserRoles
{
    public const string Admin = "Admin";
    public const string Editor = "Editor";
    // 其他角色定义...
}

5. 全面测试授权逻辑 #

最后一定要做全面的测试，覆盖以下场景：

• 用非Admin角色的用户登录，发起Delete请求，确认返回403 Forbidden
• 用Admin角色的用户登录，发起请求，确认删除操作正常执行
• 未登录状态下发起请求，确认返回401 Unauthorized（或按你自定义的逻辑响应）

内容的提问来源于stack exchange，提问作者Prasad De Silva