ASP.NET：如何从MVC应用向API转发HttpContext用户凭据

1. 域环境下用Kerberos约束委派（标准方案） #

这是Windows域内场景的主流解决方式，针对你遇到的IIS部署后API拿到应用池账户的问题，核心是配置委派让MVC应用能代表用户向API发起请求：

• 配置步骤：
  • 确保MVC和API站点都启用Windows身份验证，关闭匿名访问。
  • 在Active Directory中，找到MVC应用池对应的域账户，配置约束委派：指定仅允许向API服务的SPN（服务主体名称）委派用户凭据（绝对不要用无约束委派，风险极高）。
  • 确保API的访问地址用域名（不能用IP），因为Kerberos依赖域名解析SPN。
  • MVC端请求代码：

    using (var client = new HttpClient(new HttpClientHandler { UseDefaultCredentials = true }))
    {
        var response = await client.GetAsync("http://api.yourdomain.com/api/values");
        // 处理响应逻辑
    }
    

2. 非域/跨平台场景用令牌转发 #

如果不在域环境，或者需要跨平台支持，用令牌传递是更通用的方案：

• 实现步骤：
  • 在MVC端获取当前用户的身份令牌（比如JWT，或者ASP.NET Core中的access_token）。
  • 将令牌放到API请求的Authorization请求头中，格式为Bearer {token}。
  • API端配置令牌验证逻辑，解析令牌获取用户身份。
  • MVC端代码示例：

    var accessToken = await HttpContext.GetTokenAsync("access_token");
    using (var client = new HttpClient())
    {
        client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", accessToken);
        var response = await client.GetAsync("http://yourapi/api/data");
        // 处理响应
    }
    

  • 注意：必须启用HTTPS防止令牌泄露，令牌要设置合理的过期时间，且只包含必要的用户权限信息。

3. Windows模拟（谨慎使用） #

通过模拟当前用户身份发起请求，这种方式风险较高，仅适合特定场景：

• 实现步骤：
  • 在MVC控制器中获取当前用户的Windows身份，启动模拟上下文。
  • 在模拟范围内发起API请求，请求完成后撤销模拟。
  • 代码示例：

    using (var impersonationCtx = ((WindowsIdentity)User.Identity).Impersonate())
    {
        using (var client = new HttpClient(new HttpClientHandler { UseDefaultCredentials = true }))
        {
            var response = await client.GetAsync("http://yourapi/api/data");
            // 处理响应
        }
        impersonationCtx.Undo();
    }
    

  • 注意：需要给MVC应用池账户配置“模拟客户端请求”的权限，跨机器调用时可能受Kerberos限制，且模拟会让应用池拥有用户权限，容易扩大攻击面，生产环境尽量避免。

安全与最佳实践 #

• 强制HTTPS：所有请求必须走HTTPS，防止凭据或令牌被窃听。
• 最小权限原则：约束委派仅授权给必要的API，令牌只包含用户所需的最小权限。
• 避免过度模拟：除非绝对必要，不要使用用户模拟，优先选择Kerberos委派或令牌转发方案。

内容的提问来源于stack exchange，提问作者AssistantToTheRegionalManager