4

Como posso enviar ao usuário uma mensagem que a operação que ele deseja fazer não é autorizada?

Tenho na minha View um botão que chama uma função Javascript

 <button id="btninicio" onclick="salvaApontamento();">Inicio</button>

Essa função salvaApontamento() chama um método no meu Controller:

function salvaApontamento()
{
    startSpin();
    $.ajax({
        type: "POST",
        url: getBaseUrl() + "/Apontamentos/AlteraApontamento";,
        dataType: "json",
        data: JSON.stringify({ apontamentos: jsonDataApontamentos }),
        contentType: "application/json; charset=utf-8",
        cache: false,
        success: function (data) {
            stopSpin();
            alert("Sucesso);

        },
        error: function (data) {
            stopSpin();
            alert("Erro: salvaApontamento() :(  " + data.message)           
        }
    });
}

Tenho um método no meu controller que faz alterações apenas se for o "Administrador" logado:

 [HttpPost]
 [Authorize(Roles = "Administrador")]
 public JsonResult AlteraApontamento(ApontamentosOperacao apontamentos)
 {
    //faz o que eu preciso e retorna um Json...
 }

Debugando o código, percebi que se eu me logar como "Operador". Ao disparar a requisição, o retorno cai direto no error do Ajax e a minha requisição nem chega no método lá no Controller.

O "Administrador" e o "Operador" enxergam a mesma View. Eu gostaria de enviar uma mensagem para a View que informasse o usuário que o seu perfil não é válido. Que parâmetro eu preciso capturar na minha variável data, lá no javascript para saber que o método não pode ser acessado pelo usuário logado?

Seguindo a sugestão do amigo Eduardo, quando eu pego o statusCode no javascript do ajax, eu obtenho o código 200.

inserir a descrição da imagem aqui

Quando o usuário está autorizado, o meu objeto data retorna os dados que eu construí lá no método do Controller.

inserir a descrição da imagem aqui

4
  • Creio que o que o Eduardo disse está correto. Commented 13/07/2015 às 14:22
  • Quando o usuário está autorizado, como é o objeto data retornado? Commented 13/07/2015 às 14:44
  • Eduardo, atualizei a pergunta.
    – Emerson
    Commented 13/07/2015 às 14:52
  • Quando o resultado retorna com erro, existe algum campo chamado result? Note que quando o resultado retorna OK, o valor de result é "success". Commented 13/07/2015 às 16:29

2 Respostas 2

3

Coloque a tag de statusCode no seu javascript, como mostrado abaixo:

$.ajax({
  ....
  statusCode: {
    405: function() {
      alert( "Você não temn permisão para...." );
    }
  }
  ....
});

O Controlller retorna um erro de "Method Not Allowed", representado pelo código HTTP 405. Trate o mesmo com o código acima.

2
  • Eduardo, fiz o teste, mas o valor obtido no statusCode é 200.
    – Emerson
    Commented 13/07/2015 às 14:25
  • 1
    Estranho.... como ele retorna um erro com status 200? O que mais vem no data? Commented 13/07/2015 às 14:28
2

No seu lugar, eu faria meu próprio atributo de autorização com capacidade de devolver um erro 403 ou 405, dependendo do seu objetivo:

public class MeuAuthorizeAttribute : AuthorizeAttribute 
{
    protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext) 
    {
        if (filterContext.HttpContext.User.Identity.IsAuthenticated)
            filterContext.Result = new HttpStatusCodeResult(403);
        else
            filterContext.Result = new HttpUnauthorizedResult();
    } 
}

O uso é idêntico:

[HttpPost]
[MeuAuthorize(Roles = "Administrador")]
public JsonResult AlteraApontamento(ApontamentosOperacao apontamentos)
{
   //faz o que eu preciso e retorna um Json...
}

E para a chamada do Ajax, a resposta do @EduardoFernandes atende bem.

8
  • 1
    Ótima ideia :)!! Commented 13/07/2015 às 16:44
  • 1
    Uma alternativa bem legal é utilizar HttpModule, que intercepta todas as requests e executa qualquer atividade customizada. Nesse ponto, pode-se tratar código não autorizado. Veja esse link com um tutorial legal de HttpModule e HttpHandler: codeproject.com/Articles/30907/… Commented 13/07/2015 às 17:01
  • @Cigano Morrison Mendez , a linha filterContext.Result = new HttpUnauthorizedResult(); sempre será executada, mesmo se a condição de cima for atendida. Existe algum motivo especial?
    – Emerson
    Commented 13/07/2015 às 17:14
  • 1
    @CiganoMorrisonMendez, a vantagem de se utilizar HttpHandler é que o gerenciamento desse código HTTP, e de qualquer outro, pode ser feito em apenas um local. Além disso, utilizando-se HttpHandler, todos os controllers terão comportamento igual para o tratamento desse problema e de qualquer outro que possa aparecer para autorização, sem a necessidade de se utilizar herança. Commented 13/07/2015 às 17:25
  • 1
    EduardoFernandes e @Cigano Morrison Mendes, implementei de acordo com as orientações que vocês me deram e deu certo. Obrigado
    – Emerson
    Commented 13/07/2015 às 18:28

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .