如何将AD组权限验证的AuthorizationFilter迁移至.NET Core？

在.NET Core中，基于AD组的授权推荐使用策略式授权（Policy-Based Authorization），这是框架原生支持的方案，比自定义过滤器更贴合.NET Core的身份验证/授权体系，也更易维护和扩展。以下是具体实现步骤：

1. 确保AD用户组信息已进入Claims #

首先需要配置身份验证，让用户的AD组信息被自动加载到HttpContext.User的Claims集合中。如果你的服务是内部部署场景，可启用Windows身份验证：

var builder = WebApplication.CreateBuilder(args);

// 启用Windows身份验证（IIS部署场景）
builder.Services.AddAuthentication(IISDefaults.AuthenticationScheme);
// 独立部署场景可使用Negotiate身份验证
// builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme).AddNegotiate();

// 添加授权服务
builder.Services.AddAuthorization();

启用后，用户的AD组会以ClaimTypes.GroupSid或ClaimTypes.Role的形式加入Claims集合（具体取决于AD环境配置）。

2. 定义AD组授权策略 #

根据组列表是否固定，选择对应的配置方式：

方式一：静态固定组列表 #

如果允许的AD组是固定值，可直接在策略中定义：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("AllowedADGroups", policy =>
    {
        // 直接指定允许的AD组名称
        policy.RequireRole("SMTP_Admins", "SMTP_Operators");
        // 也可以用组SID验证（避免组名变更影响）
        // policy.RequireClaim(ClaimTypes.GroupSid, "S-1-5-21-xxxxxx-xxxxxx-xxxxxx-1234");
    });
});

方式二：动态组列表（自定义逻辑） #

如果允许的AD组需要从配置文件或数据库动态获取，可自定义授权需求和处理器：

第一步：定义授权需求类

public class ADGroupRequirement : IAuthorizationRequirement
{
    public IEnumerable<string> AllowedGroups { get; }

    public ADGroupRequirement(IEnumerable<string> allowedGroups)
    {
        AllowedGroups = allowedGroups;
    }
}

第二步：实现授权处理器

public class ADGroupHandler : AuthorizationHandler<ADGroupRequirement>
{
    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, ADGroupRequirement requirement)
    {
        // 获取用户的所有AD组Claims
        var userGroups = context.User.Claims
            .Where(c => c.Type == ClaimTypes.Role || c.Type == ClaimTypes.GroupSid)
            .Select(c => c.Value);

        // 检查用户是否属于任意允许的组
        if (requirement.AllowedGroups.Intersect(userGroups).Any())
        {
            context.Succeed(requirement);
        }

        return Task.CompletedTask;
    }
}

第三步：注册策略与处理器

// 从配置文件读取允许的组列表
var allowedGroups = builder.Configuration.GetSection("AllowedADGroups").Get<string[]>();

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("AllowedADGroups", policy =>
        policy.Requirements.Add(new ADGroupRequirement(allowedGroups)));
});

// 注册自定义处理器
builder.Services.AddScoped<IAuthorizationHandler, ADGroupHandler>();

3. 在控制器/Action上应用授权策略 #

直接在控制器或具体Action上标记[Authorize]特性并指定策略：

[ApiController]
[Route("api/[controller]")]
[Authorize(Policy = "AllowedADGroups")]
public class SmtpController : ControllerBase
{
    [HttpPost("send")]
    public IActionResult SendSmtp()
    {
        // 业务逻辑：SMTP处理
        return Ok("邮件发送成功");
    }
}

原生策略授权的优势 #

• 框架原生集成：完全融入.NET Core身份验证/授权流程，支持依赖注入、策略复用
• 可扩展性：轻松结合角色、自定义Claims等其他授权逻辑
• 可测试性：授权处理器可单独编写单元测试，无需依赖HTTP上下文
• 代码清晰：策略定义与业务逻辑分离，维护成本更低

内容的提问来源于stack exchange，提问作者CrystalBlue