旧C# WebForms项目OIDC集成后，如何管控.aspx页面授权？

因为WebForms没有MVC的[Authorize]特性，你可以通过以下几种方式实现指定.aspx页面的强制授权，结合已有的Owin OIDC配置：

方案1：单个页面后台代码添加认证检查 #

直接在需要保护的.aspx页面后台类中，在Page_Init或Page_Load事件里加入认证逻辑，未认证时触发OIDC登录挑战：

protected void Page_Init(object sender, EventArgs e)
{
    // 检查用户是否已完成认证
    if (!User.Identity.IsAuthenticated)
    {
        // 触发OIDC认证流程，登录后跳转回当前页面
        var authProps = new AuthenticationProperties { RedirectUri = Request.Url.AbsoluteUri };
        HttpContext.GetOwinContext().Authentication.Challenge(authProps, OpenIdConnectAuthenticationDefaults.AuthenticationType);
        
        // 终止当前页面响应，避免后续代码执行
        Response.End();
    }
}

这种方式适合仅需保护少量页面的场景，每个需要授权的页面单独添加这段代码即可。

方案2：扩展现有IHttpModule实现全局管控 #

如果你已经有自定义的IHttpModule，可以扩展它的BeginRequest事件，集中管理受保护页面，避免重复代码：

public class AuthCheckModule : IHttpModule
{
    // 定义需要保护的页面路径列表（根据实际需求调整）
    private readonly List<string> _protectedPages = new List<string>
    {
        "/Secure/OrderManage.aspx",
        "/Admin/UserList.aspx",
        "/UserProfile.aspx"
    };

    public void Init(HttpApplication context)
    {
        context.BeginRequest += OnBeginRequest;
    }

    private void OnBeginRequest(object sender, EventArgs e)
    {
        var app = (HttpApplication)sender;
        var requestPath = app.Context.Request.Url.AbsolutePath;

        // 检查当前请求页面是否在保护列表内
        if (_protectedPages.Any(page => requestPath.Equals(page, StringComparison.OrdinalIgnoreCase)))
        {
            // 判断用户是否未认证
            if (!app.Context.User?.Identity?.IsAuthenticated ?? true)
            {
                // 触发OIDC登录，登录后返回原页面
                var authProps = new AuthenticationProperties { RedirectUri = app.Context.Request.Url.AbsoluteUri };
                app.Context.GetOwinContext().Authentication.Challenge(authProps, OpenIdConnectAuthenticationDefaults.AuthenticationType);
                
                app.Response.End();
            }
        }
    }

    public void Dispose()
    {
        // 按需清理资源
    }
}

之后确保该Module在Web.config中注册（未注册的话添加如下配置）：

<system.webServer>
  <modules>
    <add name="AuthCheckModule" type="你的命名空间.AuthCheckModule" />
  </modules>
</system.webServer>

这种方式适合批量保护多个页面，后续维护仅需修改_protectedPages列表。

方案3：结合Web.config的节点（配合Owin逻辑） #

可以用Web.config的<location>节点标记受保护页面，再通过Module配合处理跳转逻辑，无需硬编码页面列表：

先在Web.config中配置需要保护的页面：

<location path="Secure/OrderManage.aspx">
  <system.web>
    <authorization>
      <deny users="?" /> <!-- 拒绝匿名用户访问 -->
    </authorization>
  </system.web>
</location>

然后在IHttpModule中通过UrlAuthorizationModule检查权限，无权限时触发OIDC挑战：

private void OnBeginRequest(object sender, EventArgs e)
{
    var app = (HttpApplication)sender;
    var user = app.Context.User;
    var requestPath = app.Context.Request.Url.AbsolutePath;

    // 检查当前路径是否被Web.config的授权规则限制
    if (!UrlAuthorizationModule.CheckUrlAccessForPrincipal(requestPath, user, "GET"))
    {
        if (!user.Identity.IsAuthenticated)
        {
            var authProps = new AuthenticationProperties { RedirectUri = app.Context.Request.Url.AbsoluteUri };
            app.Context.GetOwinContext().Authentication.Challenge(authProps, OpenIdConnectAuthenticationDefaults.AuthenticationType);
            app.Response.End();
        }
        else
        {
            // 已认证但无权限时，跳转到自定义无权限页面
            app.Response.Redirect("/AccessDenied.aspx");
            app.Response.End();
        }
    }
}

这种方式通过配置文件管理受保护页面，无需修改代码即可调整范围。

注意事项 #

• 确保Startup类中OIDC的CallbackPath配置与Okta应用的回调地址一致。
• RedirectUri设置为当前请求Url，保证用户登录后能回到原页面。
• 如果需要角色授权，可在认证检查通过后，额外添加User.IsInRole("Admin")这类判断，无权限时跳转至访问拒绝页面。

内容的提问来源于stack exchange，提问作者user464291