Blazor Server中为AD认证用户添加自定义数据库角色的实现咨询

核心思路 #

Blazor Server中，我们可以通过**Claims Transformation（声明转换）**或者自定义AuthenticationStateProvider来扩展AD登录后的用户声明，把数据库里的自定义角色注入到ClaimsPrincipal中。

方法一：使用Claims Transformation（推荐入门） #

这是ASP.NET Core通用的扩展声明方式，适配Blazor Server场景：

1. 创建自定义声明转换类 #

实现IClaimsTransformation接口，在TransformAsync方法里从数据库获取当前用户的自定义角色并添加到声明中：

using System.Security.Claims;
using System.Threading.Tasks;
using Microsoft.AspNetCore.Authentication;
using YourAppNamespace.Data;

public class CustomClaimsTransformer : IClaimsTransformation
{
    private readonly IUserRoleService _userRoleService;

    // 注入用于查询数据库角色的服务
    public CustomClaimsTransformer(IUserRoleService userRoleService)
    {
        _userRoleService = userRoleService;
    }

    public async Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)
    {
        // 克隆当前用户主体，避免修改原始认证对象
        var clone = principal.Clone();
        var identity = (ClaimsIdentity)clone.Identity;

        // 获取AD登录的用户名（一般为samAccountName）
        var username = identity.Name;

        // 从数据库拉取该用户的自定义角色列表
        var roles = await _userRoleService.GetRolesForUserAsync(username);

        // 将每个角色添加为Claim，类型指定为ClaimTypes.Role
        foreach (var role in roles)
        {
            identity.AddClaim(new Claim(ClaimTypes.Role, role));
        }

        return clone;
    }
}

2. 注册服务到DI容器 #

在Program.cs中添加以下注册代码：

builder.Services.AddScoped<IClaimsTransformation, CustomClaimsTransformer>();
// 同时注册你的角色查询服务（比如基于EF Core的实现）
builder.Services.AddScoped<IUserRoleService, UserRoleService>();

3. 验证角色生效 #

在Blazor组件中可通过AuthorizeView或直接读取用户声明验证：

<AuthorizeView Roles="Admin">
    <p>仅Admin角色可见内容</p>
</AuthorizeView>

@code {
    [CascadingParameter]
    private Task<AuthenticationState> AuthenticationStateTask { get; set; }

    protected override async Task OnInitializedAsync()
    {
        var authState = await AuthenticationStateTask;
        var user = authState.User;
        // 打印当前用户所有角色声明
        foreach (var claim in user.FindAll(ClaimTypes.Role))
        {
            Console.WriteLine($"当前角色: {claim.Value}");
        }
    }
}

方法二：自定义AuthenticationStateProvider #

如果需要更灵活的控制（比如手动触发角色刷新），可以自定义身份状态提供者：

1. 创建自定义Provider #

继承RevalidatingServerAuthenticationStateProvider：

using System.Security.Claims;
using System.Threading;
using System.Threading.Tasks;
using Microsoft.AspNetCore.Components.Authorization;
using YourAppNamespace.Data;

public class CustomAuthenticationStateProvider : RevalidatingServerAuthenticationStateProvider
{
    private readonly IServiceScopeFactory _scopeFactory;

    public CustomAuthenticationStateProvider(ILoggerFactory loggerFactory, IServiceScopeFactory scopeFactory)
        : base(loggerFactory)
    {
        _scopeFactory = scopeFactory;
    }

    protected override async Task<bool> ValidateAuthenticationStateAsync(
        AuthenticationState authenticationState, CancellationToken cancellationToken)
    {
        var user = authenticationState.User;
        if (!user.Identity.IsAuthenticated) return false;

        using var scope = _scopeFactory.CreateScope();
        var roleService = scope.ServiceProvider.GetRequiredService<IUserRoleService>();
        var username = user.Identity.Name;
        var dbRoles = await roleService.GetRolesForUserAsync(username);

        // 对比现有角色与数据库角色，不一致则刷新用户声明
        var existingRoles = user.FindAll(ClaimTypes.Role).Select(c => c.Value).ToHashSet();
        if (!dbRoles.SetEquals(existingRoles))
        {
            var newIdentity = (ClaimsIdentity)user.Identity.Clone();
            // 清除旧角色声明
            foreach (var oldClaim in existingRoles.Select(r => new Claim(ClaimTypes.Role, r)))
            {
                newIdentity.RemoveClaim(oldClaim);
            }
            // 添加新角色
            foreach (var role in dbRoles)
            {
                newIdentity.AddClaim(new Claim(ClaimTypes.Role, role));
            }
            var newPrincipal = new ClaimsPrincipal(newIdentity);
            NotifyAuthenticationStateChanged(Task.FromResult(new AuthenticationState(newPrincipal)));
            return true;
        }

        return true;
    }

    // 手动刷新角色的方法，比如用户修改角色后调用
    public async Task RefreshUserRoles()
    {
        var authState = await GetAuthenticationStateAsync();
        await ValidateAuthenticationStateAsync(authState, CancellationToken.None);
    }
}

2. 注册自定义Provider #

在Program.cs中替换默认的身份状态提供者：

builder.Services.AddScoped<AuthenticationStateProvider, CustomAuthenticationStateProvider>();
builder.Services.AddScoped<IUserRoleService, UserRoleService>();

注意事项 #

• 确保AD认证的用户名与数据库存储的用户标识一致（比如用samAccountName作为唯一匹配字段）
• 角色查询服务IUserRoleService的示例实现（基于EF Core）：

  public class UserRoleService : IUserRoleService
  {
      private readonly AppDbContext _dbContext;
  
      public UserRoleService(AppDbContext dbContext)
      {
          _dbContext = dbContext;
      }
  
      public async Task<List<string>> GetRolesForUserAsync(string username)
      {
          var user = await _dbContext.Users.Include(u => u.Roles).FirstOrDefaultAsync(u => u.Username == username);
          return user?.Roles.Select(r => r.Name).ToList() ?? new List<string>();
      }
  }
  

• 声明转换会在每次请求时执行，建议对角色查询结果做缓存优化，避免频繁数据库请求

内容的提问来源于stack exchange，提问作者Mauro Alvarez