ASP.NET Core CMS多认证实现正确性及Cookie方案疑问

当前实现的合理性 #

你的整体实现思路是符合ASP.NET Core多认证最佳实践的：

• 以CookieAuthenticationDefaults.AuthenticationScheme作为默认会话存储方案，统一管理登录后的用户会话
• 通过AddNegotiate（对应Windows Authentication）、AddWsFederation（对应ADFS）、AddMicrosoftIdentityWebApp（对应Azure AD/Microsoft 365）添加多认证提供者
• 用[Authorize(AuthenticationSchemes = "...")]为特定页面指定触发的认证方式

目前各认证能正常工作，说明基础逻辑是正确的。

Cookie方案的疑问解答与定制方案 #

1. AddMicrosoftIdentityWebApp的Cookie定制问题 #

AddMicrosoftIdentityWebApp默认会复用默认Cookie方案的配置，但并非无法定制，推荐两种方案：

• 方案一：提前定制默认Cookie（推荐）
  在调用AddMicrosoftIdentityWebApp前，显式配置默认Cookie的各项参数，后续所有认证提供者都会使用这个统一配置：

  builder.Services
      .AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
      .AddCookie(options =>
      {
          // 定制Cookie名称、过期时间、SameSite等属性
          options.Cookie.Name = "MyCMS_AuthCookie";
          options.ExpireTimeSpan = TimeSpan.FromHours(8);
          options.SlidingExpiration = true;
          // 其他定制项（比如登录/注销路径、Cookie安全策略等）
      })
      .AddNegotiate()
      .AddWsFederation(options =>
      {
          var wsFederationSettings = builder.Configuration.GetSection(AppSettings.SectionNames.WsFederation).Get<WsFederationSettings>();
          options.MetadataAddress = wsFederationSettings.MetadataAddress;
          options.Wtrealm = wsFederationSettings.Wtrealm;
          options.CallbackPath = "/FederationResult";
      })
      .AddMicrosoftIdentityWebApp(builder.Configuration, configSectionName: "Authentication:AzureAD");
  

  这种方式下，所有认证方式登录成功后都会写入同一个Cookie，统一管理用户会话，是多认证场景下的常规做法。

• 方案二：为Azure AD单独配置Cookie（解决未认证问题）
  如果确实需要为Azure AD使用独立Cookie，必须解决默认认证方案的检查逻辑问题：

  // 定义Azure AD专用Cookie方案名称
  const string AzureAdCookieScheme = "AzureAd_Cookie";
  
  builder.Services
      .AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
      .AddCookie(options =>
      {
          // 默认Cookie配置
      })
      .AddCookie(AzureAdCookieScheme, options =>
      {
          // Azure AD专用Cookie定制
          options.Cookie.Name = "MyCMS_AzureAdCookie";
          options.ExpireTimeSpan = TimeSpan.FromHours(4);
      })
      .AddNegotiate()
      .AddWsFederation(...)
      .AddMicrosoftIdentityWebApp(builder.Configuration, "Authentication:AzureAD", oidcOptions =>
      {
          // 指定Azure AD登录后使用专用Cookie方案
          oidcOptions.SignInScheme = AzureAdCookieScheme;
      });
  

  之后，在需要Azure AD授权的页面，必须同时指定默认Cookie和Azure AD专用Cookie方案，否则默认认证逻辑只会检查默认Cookie：

  [Authorize(AuthenticationSchemes = $"{CookieAuthenticationDefaults.AuthenticationScheme},{AzureAdCookieScheme}")]
  public class AzureAdModel : PageModel
  { ... }
  

  这种方式会增加会话管理复杂度，仅推荐有特殊业务需求时使用。

补充优化建议 #

• 添加用户名密码认证：可通过AddIdentity（结合ASP.NET Core Identity）或AddPassword方式实现，复用默认Cookie方案即可，无需单独配置。
• 统一用户Claims：不同认证提供者返回的Claims结构差异较大，建议添加ClaimsTransformation中间件，将不同来源的Claims转换为业务统一格式，方便后续逻辑处理。
• 优化认证触发方式：除了页面级的[Authorize]指定Scheme，还可以在登录页面通过按钮触发对应认证：

  public IActionResult LoginWithAzureAd()
  {
      return Challenge(new AuthenticationProperties { RedirectUri = "/" }, OpenIdConnectDefaults.AuthenticationScheme);
  }
  
  public IActionResult LoginWithAdfs()
  {
      return Challenge(new AuthenticationProperties { RedirectUri = "/" }, WsFederationDefaults.AuthenticationScheme);
  }
  

内容的提问来源于stack exchange，提问作者Stefano