寻求将Azure AD身份验证集成到.NET Framework 4传统ASPX项目的实现指导

一、核心前提说明 #

你的项目基于.NET Framework 4，而OWIN身份验证组件依赖.NET Framework 4.5及以上版本，请先将项目升级到.NET Framework 4.5或更高版本，这是集成Azure AD的必要前提。

二、Azure AD应用注册补充配置 #

你已完成应用注册，需确认以下配置：

• 重定向URI设置为项目的登录回调地址（如https://你的域名/Login.aspx或专门的回调页面）
• 记录应用的客户端ID、租户ID，后续配置会用到

三、项目集成步骤 #

1. 安装必要NuGet包 #

在项目中执行以下NuGet命令：

Install-Package Microsoft.Owin.Security.OpenIdConnect
Install-Package Microsoft.Owin.Security.Cookies
Install-Package Microsoft.Owin.Host.SystemWeb

2. 添加OWIN启动类 #

在项目根目录新建Startup.cs文件，代码如下：

using Microsoft.Owin;
using Owin;
using Microsoft.Owin.Security.Cookies;
using Microsoft.Owin.Security.OpenIdConnect;
using System.Configuration;

[assembly: OwinStartup(typeof(你的项目命名空间.Startup))]
namespace 你的项目命名空间
{
    public class Startup
    {
        public void Configuration(IAppBuilder app)
        {
            // 设置默认登录验证类型为Cookie
            app.SetDefaultSignInAsAuthenticationType(CookieAuthenticationDefaults.AuthenticationType);
            // 启用Cookie身份验证
            app.UseCookieAuthentication(new CookieAuthenticationOptions());
            // 配置OpenID Connect验证（对接Azure AD）
            app.UseOpenIdConnectAuthentication(
                new OpenIdConnectAuthenticationOptions
                {
                    ClientId = ConfigurationManager.AppSettings["AzureADClientId"],
                    Authority = $"https://login.microsoftonline.com/{ConfigurationManager.AppSettings["AzureADTenantId"]}",
                    RedirectUri = ConfigurationManager.AppSettings["AzureADRedirectUri"],
                    PostLogoutRedirectUri = ConfigurationManager.AppSettings["AzureADPostLogoutRedirectUri"],
                    Notifications = new OpenIdConnectAuthenticationNotifications
                    {
                        AuthenticationFailed = context =>
                        {
                            context.HandleResponse();
                            context.Response.Redirect("/Error.aspx?message=" + context.Exception.Message);
                            return System.Threading.Tasks.Task.FromResult(0);
                        }
                    }
                });
        }
    }
}

3. 修改Web.config配置 #

在<appSettings>节点添加Azure AD相关配置：

<add key="AzureADClientId" value="你的Azure AD应用客户端ID" />
<add key="AzureADTenantId" value="你的Azure AD租户ID" />
<add key="AzureADRedirectUri" value="https://你的域名/Login.aspx" />
<add key="AzureADPostLogoutRedirectUri" value="https://你的域名/Logout.aspx" />

同时修改<system.web>节点下的身份验证配置，避免与原有FormsAuth冲突：

<authentication mode="None" />
<authorization>
    <allow users="*" /> <!-- 默认允许所有访问，后续在页面级别控制权限 -->
</authorization>

4. 改造Login.aspx登录逻辑 #

替换原有的用户名密码登录逻辑，改为触发Azure AD登录流程：

protected void SignIn_Click(object sender, EventArgs e)
{
    // 触发Azure AD登录，登录成功后跳转到首页
    HttpContext.Current.GetOwinContext().Authentication.Challenge(
        new AuthenticationProperties { RedirectUri = "/" },
        OpenIdConnectAuthenticationDefaults.AuthenticationType);
}

如果需要保留原有本地登录选项，可新增一个“使用企业账号登录”按钮，绑定上述代码。

5. 页面级别权限控制 #

在需要验证的页面（如后台页面）的代码文件顶部添加[Authorize]特性，实现登录拦截：

[Authorize]
public partial class 后台页面名称 : System.Web.UI.Page
{
    // 页面原有逻辑
}

6. 实现登出功能 #

在登出按钮的点击事件中添加以下代码，完成Azure AD与本地Cookie的双重登出：

protected void SignOut_Click(object sender, EventArgs e)
{
    HttpContext.Current.GetOwinContext().Authentication.SignOut(
        CookieAuthenticationDefaults.AuthenticationType,
        OpenIdConnectAuthenticationDefaults.AuthenticationType);
}

四、获取登录用户信息 #

登录成功后，可通过以下代码获取Azure AD返回的用户信息：

var claimsPrincipal = User as ClaimsPrincipal;
string userEmail = claimsPrincipal.FindFirst(System.Security.Claims.ClaimTypes.Email)?.Value;
string userName = claimsPrincipal.FindFirst(System.Security.Claims.ClaimTypes.Name)?.Value;
string userId = claimsPrincipal.FindFirst(System.Security.Claims.ClaimTypes.NameIdentifier)?.Value;

五、注意事项 #

• 本地测试时，需确保Azure AD应用的重定向URI设置为https://localhost:端口号/Login.aspx，且项目启用HTTPS
• 若原有项目使用FormsAuthentication，需逐步替换相关逻辑，避免身份验证机制冲突

内容的提问来源于stack exchange，提问作者Snooper_A