如何在ASP.NET Core应用中控制WS-Federation认证流程

1. 手动触发认证挑战 #

默认场景下系统会自动跳转ADFS，但你可以通过代码手动发起认证流程，比如在控制器动作中：

public IActionResult Login()
{
    // 手动发起认证挑战，可自定义跳转后的回调路径
    return Challenge(new AuthenticationProperties { RedirectUri = "/" }, WsFederationDefaults.AuthenticationScheme);
}

2. 拦截认证全生命周期事件 #

在AddWsFederation配置中，通过Events属性可以拦截认证各阶段的事件，实现自定义逻辑：

.AddWsFederation(options =>
{
    options.Wtrealm = "https://localhost:7114/";
    options.MetadataAddress = "https://myServer/FederationMetadata/2007-06/FederationMetadata.xml";
    
    // 认证成功后拦截，可自定义用户Claims或执行业务逻辑
    options.Events.OnSecurityTokenValidated = context =>
    {
        context.Principal.Identities.First().AddClaim(new Claim("CustomClaim", "CustomValue"));
        return Task.CompletedTask;
    };
    
    // 认证失败时自定义错误处理
    options.Events.OnAuthenticationFailed = context =>
    {
        context.Response.Redirect("/Error?message=" + context.Exception.Message);
        context.HandleResponse(); // 终止默认错误处理流程
        return Task.CompletedTask;
    };
    
    // 重定向到ADFS前拦截，可修改请求参数
    options.Events.OnRedirectToIdentityProvider = context =>
    {
        context.ProtocolMessage.Wreply = "https://your-custom-callback-url";
        return Task.CompletedTask;
    };
})

3. 手动控制登出流程 #

要实现本地Cookie清除+ADFS单点登出，可在控制器中编写逻辑：

public async Task<IActionResult> Logout()
{
    // 清除本地认证Cookie
    await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
    
    // 发起ADFS单点登出，跳转至指定页面
    return SignOut(new AuthenticationProperties { RedirectUri = "/" }, WsFederationDefaults.AuthenticationScheme);
}

注意需提前在ADFS的信赖方信任配置中设置正确的登出回调地址。

4. 自定义认证授权策略 #

通过注册自定义授权策略，结合[Authorize]属性控制资源访问权限：

// 注册自定义授权策略
builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("CustomPolicy", policy =>
        policy.RequireClaim("CustomClaim", "CustomValue"));
});

在控制器中应用策略：

[Authorize(Policy = "CustomPolicy")]
public IActionResult SecurePage()
{
    return View();
}

5. 访问当前认证上下文 #

在控制器或视图中，通过HttpContext.User获取当前用户的认证信息，执行自定义业务逻辑：

public IActionResult Profile()
{
    var userName = User.Identity.Name;
    var customClaim = User.FindFirst("CustomClaim")?.Value;
    // 基于用户信息的业务处理
    return View();
}

内容的提问来源于stack exchange，提问作者enguema