如何获取跨域ClaimsIdentity并添加至Thread.CurrentPrincipal身份列表？

要获取目标域用户的ClaimsIdentity并添加到Thread.CurrentPrincipal的身份列表中，需要借助Windows原生API实现跨域身份登录，具体步骤如下：

1. 声明Win32 API调用 #

由于.NET的WindowsIdentity类没有直接支持通过凭据创建实例的方法，需调用Windows系统的LogonUser API获取目标用户的访问令牌：

using System;
using System.Runtime.InteropServices;
using System.Security.Principal;
using System.Threading;
using System.Collections.Generic;

public static class Win32AuthHelper
{
    [DllImport("advapi32.dll", SetLastError = true, CharSet = CharSet.Unicode)]
    public static extern bool LogonUser(
        string username,
        string domain,
        string password,
        int logonType,
        int logonProvider,
        out IntPtr tokenHandle);

    [DllImport("kernel32.dll", SetLastError = true)]
    public static extern bool CloseHandle(IntPtr hObject);
}

2. 创建目标域的身份对象并添加到当前Principal #

通过API获取令牌后，生成WindowsIdentity并转换为ClaimsIdentity，最终合并到当前线程的身份集合中：

// 目标域账户信息
string targetDomain = "SERVER";
string targetUsername = "mwheeler";
string targetPassword = "你的合法密码";

IntPtr tokenHandle = IntPtr.Zero;
bool logonSuccess = Win32AuthHelper.LogonUser(
    targetUsername,
    targetDomain,
    targetPassword,
    2, // 交互式登录类型LOGON32_LOGON_INTERACTIVE
    0, // 默认登录提供者LOGON32_PROVIDER_DEFAULT
    out tokenHandle);

if (!logonSuccess)
{
    throw new System.ComponentModel.Win32Exception();
}

try
{
    // 创建目标域的WindowsIdentity
    WindowsIdentity targetWinIdentity = new WindowsIdentity(tokenHandle);
    // 转换为ClaimsIdentity
    ClaimsIdentity targetClaimsIdentity = targetWinIdentity as ClaimsIdentity;

    // 合并身份到当前Principal（原Identities集合为只读，需创建新Principal）
    ClaimsPrincipal currentPrincipal = Thread.CurrentPrincipal as ClaimsPrincipal;
    if (currentPrincipal != null)
    {
        List<ClaimsIdentity> identities = currentPrincipal.Identities.ToList();
        identities.Add(targetClaimsIdentity);
        Thread.CurrentPrincipal = new ClaimsPrincipal(identities);
    }
}
finally
{
    // 必须关闭令牌句柄，避免资源泄漏
    Win32AuthHelper.CloseHandle(tokenHandle);
}

关键注意事项 #

• 确保应用拥有调用LogonUser的权限，通常需要对应系统权限或管理员权限
• 凭据处理需遵循安全规范，避免明文硬编码，建议通过Windows凭据管理器读取存储的凭据
• Thread.CurrentPrincipal的Identities集合是只读的，必须创建新的ClaimsPrincipal来合并身份
• 操作完成后务必关闭令牌句柄，防止系统资源泄漏

内容的提问来源于stack exchange，提问作者Mason Wheeler