如何在Azure中为Web应用不同用户实现页面级访问权限控制

1. 基于Azure AD角色/安全组的权限控制 #

这是Azure环境下最标准的做法，适合用户数量较多或需要统一管理权限的场景：

• 在Azure AD中创建自定义安全组，将需要访问该页面的用户添加至组内；或者直接创建自定义角色（适合更细粒度的权限划分）。
• 在Web应用代码中，获取当前登录用户的角色/组信息：
  以ASP.NET Core为例，可通过User.IsInRole("你的角色名")判断用户是否属于指定角色，或通过用户的groups声明获取所属组ID进行校验。
• 双重校验：
  • 前端：仅当用户符合权限条件时，渲染跳转按钮，避免无权限用户看到入口。
  • 后端：在受限页面的控制器/路由逻辑中添加权限判断，若用户无权限则返回403禁止访问。

2. 应用内自定义权限列表（小型场景快速实现） #

如果需要访问的用户数量极少，可直接在应用配置中维护允许列表：

• 进入Azure门户的App Service资源，在「配置」→「应用设置」中添加键值对，例如ALLOWED_USER_IDS，值为逗号分隔的用户Azure AD Object ID（可从Azure AD用户详情页复制）。
• 代码中读取该配置，与当前用户的Object ID对比：

// 后端权限校验示例（ASP.NET Core）
public IActionResult RestrictedPage()
{
    var userId = User.FindFirst("http://schemas.microsoft.com/identity/claims/objectidentifier")?.Value;
    var allowedIds = Configuration["ALLOWED_USER_IDS"].Split(',', StringSplitOptions.RemoveEmptyEntries);
    
    if (string.IsNullOrEmpty(userId) || !allowedIds.Contains(userId))
    {
        return Forbid();
    }
    return View();
}

// 前端按钮渲染示例（Razor视图）
@{
    var userId = User.FindFirst("http://schemas.microsoft.com/identity/claims/objectidentifier")?.Value;
    var allowedIds = Configuration["ALLOWED_USER_IDS"].Split(',', StringSplitOptions.RemoveEmptyEntries);
}
@if (allowedIds.Contains(userId))
{
    <a href="/RestrictedPage" class="btn">访问受限页面</a>
}

3. Azure App Service IAM配合应用逻辑（适合管理类页面） #

若该页面属于应用的管理后台，可通过App Service的IAM权限控制：

• 在App Service的「访问控制(IAM)」中，为特定用户/组分配合适的角色（例如「Contributor」，或自定义仅允许访问该页面的角色）。
• 代码中调用Azure管理API获取用户的IAM权限，判断是否允许访问。不过这种方式相对复杂，普通业务页面不推荐。

关键注意事项 #

• 必须同时做前端入口隐藏和后端权限校验，防止用户直接通过URL跳转绕过限制。
• 使用Azure AD角色时，需确保应用注册中已配置角色声明的传递，可在Azure AD应用注册的「令牌配置」中添加角色声明。

内容的提问来源于stack exchange，提问作者Pixel