C# ASP.NET Web APIにおけるAuthorizeAttributeの使い方とは？

認可（Authorization）とは、認証済みのユーザーが特定のリソース（Web APIリソース）に対してアクションを実行することを許可されているかどうかを判断するプロセスです。例えば、データの取得や投稿を行う権限を持っているかどうかも、認可の一部に含まれます。認可プロセスはコントローラーのアクションメソッドが実行される前に実行されるため、そのリソースへのアクセスを許可するかどうかを柔軟に制御できます。

ASP.NET Web APIでは、認可は「認可フィルター（Authorization Filters）」を使って実装されます。このフィルターはコントローラーのアクションメソッドが実行される前に処理されます。Web APIには組み込みの認可フィルターとしてAuthorizeAttributeが用意されており、このフィルターはユーザーが認証済みかどうかをチェックします。未認証の場合は、アクションメソッドを呼び出すことなくHTTPステータスコード401（Unauthorized）を返します。

AuthorizeAttributeは、グローバル、コントローラーレベル、個別のアクションメソッドレベルのいずれかに適用できます。

グローバルに適用する

すべてのWeb APIコントローラーへのアクセスを制限したい場合は、AuthorizeAttributeフィルターをグローバルフィルターリストに追加します。

public static void Register(HttpConfiguration config){
   config.Filters.Add(new AuthorizeAttribute());
}

コントローラーレベルで適用する

特定のコントローラーへのアクセスを制限したい場合は、フィルターを属性としてコントローラーに追加します。

// コントローラー内のすべてのアクションに認可を要求する
[Authorize]
public class StudentsController : ApiController{
   public HttpResponseMessage Get(int id) { ... }
   public HttpResponseMessage Post() { ... }
}

アクションメソッドレベルで適用する

特定のアクションメソッドへのアクセスのみを制限したい場合は、属性をアクションメソッドに直接追加します。

public class StudentsController : ApiController{
   public HttpResponseMessage Get() { ... }
   // 特定のアクションに対して認可を要求する
   [Authorize]
   public HttpResponseMessage Post() { ... }
}

実装例

using System.Web.Http;
namespace DemoWebApplication.Controllers{
   public class DemoController : ApiController{
      [Authorize]
      public IHttpActionResult Get(){
         return Ok();
      }
   }
}

上記のようにアクションメソッドにAuthorize属性を付与した場合、アクセス時にはベアラートークン、APIキー、OAuthなどの適切な認可情報が必要になります。認可されていない状態でアクセスすると、以下のような401 Unauthorizedレスポンスが返されます。