Blazor Server应用中Azure AD组权限控制及登录拦截方案咨询

一、解决用户组信息获取问题 #

要拿到用户的Azure AD组信息，需先完成权限配置，有两种实现方式：

1. 通过ID Token直接获取组声明 #

• 登录Azure AD门户，找到你的应用注册 → 进入「管理」→「Token configuration」→ 点击「添加组声明」
• 选择需要包含的组类型（如安全组），可指定返回Group ID或SamAccountName作为声明内容
• 保存配置后，用户登录时返回的ID Token中会自动带上groups字段，直接解析就能拿到所属组的标识

2. 通过Microsoft Graph API获取组信息 #

如果用户所属组数量过多（导致ID Token体积超限），或需要更完整的组数据，可调用Graph API：

• 给应用注册添加GroupMember.Read.All或Directory.Read.All应用权限，必须由管理员完成「授予管理员同意」操作
• 用户登录时，请求的Scope需包含该权限，例如：openid profile email GroupMember.Read.All
• 拿到Access Token后，调用GET /me/memberOf端点，即可获取用户所属的所有组（安全组、Office 365组等）

二、基于Azure AD组分配应用模块权限 #

获取组信息后，在应用内实现细粒度权限控制：

• 维护一份组-模块权限映射表，示例：

  {
    "AdminGroup": ["admin-dashboard", "user-management"],
    "SalesTeam": ["sales-analytics", "customer-management"],
    "GuestUsers": ["public-content"]
  }
  

• 在应用的路由守卫、权限拦截器中加入校验逻辑：
  • 解析当前用户的组列表，与映射表匹配
  • 若用户属于目标模块对应的组，则允许访问；否则跳转至无权限提示页面

三、拦截非指定组用户的登录操作 #

有两种拦截方案，按需选择：

1. Azure AD层面直接拦截（推荐） #

• 进入Azure AD门户 →「企业应用」→ 找到你的应用 →「属性」→ 设置「用户分配要求?」为「是」
• 切换到「用户和组」选项卡 → 添加允许访问应用的指定组
• 非指定组用户尝试登录时，Azure AD会直接返回权限不足错误，无法进入应用

2. 应用层面拦截 #

若需要自定义拦截逻辑（如记录日志、个性化提示），可在登录回调阶段处理：

• 用户登录成功后，立即获取其组信息（通过ID Token或Graph API）
• 检查用户是否在允许的组列表内，若不属于：
  • 清除用户登录状态
  • 跳转至自定义无权限页面，提示用户无法访问应用

内容的提问来源于stack exchange，提问作者Jens Chr. I. Thomsen