ASP.NET Core+Azure AD(B2C)如何限制查询至当前登录用户？

核心结论 #

ASP.NET Core（或Microsoft Identity Platform）没有自动限制查询到当前登录用户数据的内置机制，你必须手动通过Where条件过滤用户关联的数据。

原因说明 #

Azure AD B2C的核心作用是身份认证：它负责验证用户身份、返回用户的身份声明信息，但不会直接介入你的业务数据访问逻辑。ASP.NET Core的身份认证中间件仅负责解析并存储用户的身份上下文（比如HttpContext.User），不会自动修改EF Core的查询语句来过滤数据。

正确实现步骤 #

1. 获取当前登录用户ID
   从HttpContext.User中提取Azure AD B2C返回的用户唯一标识，通常对应声明http://schemas.microsoft.com/identity/claims/objectidentifier，示例代码：

   var loggedInUserId = User.FindFirstValue("http://schemas.microsoft.com/identity/claims/objectidentifier");
   

   如果你在Azure AD B2C中配置了自定义声明，也可以使用对应的声明键来获取用户ID。

2. 手动过滤用户数据
   在EF Core查询中添加Where条件，确保只返回当前用户的订单：

   var userOrders = _dbContext.Orders
       .Where(order => order.UserId == loggedInUserId)
       .ToList();
   

优化建议（减少重复代码） #

为了避免在每个查询中重复编写过滤逻辑，可以封装通用的扩展方法或在Repository层统一处理：

1. 定义用户归属实体接口

   public interface IUserOwnedEntity
   {
       string UserId { get; set; }
   }
   
   // 让订单实体实现该接口
   public class Order : IUserOwnedEntity
   {
       public int Id { get; set; }
       public string UserId { get; set; }
       // 其他订单字段...
   }
   

2. 编写EF Core扩展方法

   public static class QueryableExtensions
   {
       public static IQueryable<T> ForCurrentUser<T>(this IQueryable<T> query, string userId) 
           where T : IUserOwnedEntity
       {
           return query.Where(entity => entity.UserId == userId);
       }
   }
   

3. 简化查询调用

   var userOrders = _dbContext.Orders.ForCurrentUser(loggedInUserId).ToList();
   

关键注意事项 #

• 禁止依赖前端传参获取用户ID：必须从后端HttpContext.User中提取，防止用户篡改请求参数获取他人数据。
• 确保数据关联正确性：数据库表中的UserId字段必须与Azure AD B2C返回的用户ID类型一致（通常为字符串），避免类型不匹配导致的查询错误。

内容的提问来源于stack exchange，提问作者me.at.coding