如何实现ASP.NET Core 6 MVC按Azure AD组重定向用户至子域名？

1. 配置Azure AD获取用户组信息 #

• 在Azure门户的应用注册中，为你的ASP.NET Core应用添加Directory.Read.All应用权限，需要管理员完成权限同意。
• 编辑应用的令牌配置，确保ID令牌或访问令牌中包含groups声明，可选择返回安全组或所有组，按需设置。

2. 配置ASP.NET Core 6的Azure AD认证 #

确保Program.cs中的认证逻辑配置正确，示例代码：

builder.Services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApp(builder.Configuration.GetSection("AzureAd"))
    .EnableTokenAcquisitionToCallDownstreamApi()
    .AddInMemoryTokenCaches();

// 必须添加授权中间件
builder.Services.AddAuthorization();

3. 编写控制器重定向逻辑 #

在登录后的默认控制器（比如HomeController）中实现组匹配与重定向：

public class HomeController : Controller
{
    public IActionResult Index()
    {
        // 从用户Claims中提取所属Azure AD组的ID集合
        var userGroups = User.Claims.Where(c => c.Type == "groups").Select(c => c.Value).ToList();

        // 预定义组ID与子域名的映射关系（推荐用组GUID，避免名称变更导致失效）
        var groupSubdomainMap = new Dictionary<string, string>
        {
            { "管理员组GUID", "admin" },
            { "普通用户组GUID", "user" },
            { "编辑组GUID", "editor" }
        };

        // 匹配用户所属的第一个有效组（可根据业务调整匹配优先级）
        var matchedSubdomain = groupSubdomainMap.FirstOrDefault(kv => userGroups.Contains(kv.Key)).Value;

        if (!string.IsNullOrEmpty(matchedSubdomain))
        {
            // 构造目标子域名URL，替换为你的主域名
            var redirectUrl = $"https://{matchedSubdomain}.yourdomain.com";
            return Redirect(redirectUrl);
        }

        // 无匹配组时的 fallback 逻辑，比如跳转到无权限页面
        return RedirectToAction("NoAccess", "Error");
    }
}

关键注意事项 #

• 若使用ID令牌获取组信息，需在Azure AD应用的清单中设置groupMembershipClaims为SecurityGroup或All，否则Claims中不会包含组数据。
• 优先使用组GUID作为匹配键，组名称可能被修改，稳定性远低于GUID。
• 确保应用已获得管理员授权的Directory.Read.All权限，否则无法读取用户所属组信息。
• 重定向前需校验子域名合法性，只允许预定义的子域名，避免开放重定向漏洞。

内容的提问来源于stack exchange，提问作者Mic