.NET Core 7 MVC中如何为AdminController添加域用户身份验证？

你遇到的错误核心是仅配置了授权策略，但未设置认证机制——ASP.NET Core无法确定用何种方式验证用户身份（如域用户认证、Cookie认证等），因此需要先完成认证服务的配置，再结合授权策略实现需求。

1. 安装域认证依赖包 #

针对域用户场景，推荐使用Negotiate认证方案（支持Kerberos/NTLM，适配Windows域环境），先安装对应的NuGet包：

Install-Package Microsoft.AspNetCore.Authentication.Negotiate

2. 配置认证与授权服务（Program.cs） #

在builder.Services.AddAuthorization之前，先添加认证服务并指定默认方案，同时调整授权策略的验证逻辑（默认域认证不会自动生成DomainUser类型的Claim，需替换为实际可用的验证规则）：

// 配置认证服务，指定默认域认证方案
builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
    .AddNegotiate();

// 配置授权策略
builder.Services.AddAuthorization(options => {
    options.AddPolicy("DomainUserPolicy", policy => 
        // 方案1：仅允许已认证的域用户（所有域内登录用户均可访问）
        policy.RequireAuthenticatedUser()
        // 方案2：限制特定域组（替换为你的域组SID）
        // policy.RequireClaim("http://schemas.microsoft.com/ws/2008/06/identity/claims/groupsid", "S-1-5-21-xxx-xxx-xxx-xxx")
        // 方案3：限制特定域名前缀的用户
        // policy.RequireUserName(@"YOUR_DOMAIN\*")
    );
});

3. 启用认证与授权中间件（Program.cs） #

确保认证中间件在授权中间件之前执行，添加在app.UseRouting()之后：

app.UseRouting();

// 必须先执行认证，再执行授权
app.UseAuthentication();
app.UseAuthorization();

app.MapControllerRoute(
    name: "default",
    pattern: "{controller=Home}/{action=Index}/{id?}");

4. 配置控制器的访问权限 #

• HomeController：添加[AllowAnonymous]允许匿名访问

[AllowAnonymous]
public class HomeController : Controller
{
    // 你的动作方法逻辑
}

• AdminController：保留原有的授权策略特性

[Authorize(Policy = "DomainUserPolicy")]
public class AdminController : Controller
{
    // 你的动作方法逻辑
}

关键说明 #

• 原错误的本质是：ASP.NET Core需要先通过认证流程获取用户身份（如域用户的Claims），才能执行授权策略的验证，因此必须先配置AddAuthentication并指定默认方案。
• 若你的域环境有特殊需求（如表单登录式域认证），可替换为Cookie认证方案，但域用户场景下Negotiate是最便捷的自动认证方式。

内容的提问来源于stack exchange，提问作者user788448