如何为ASP.NET MVC单个控制器指定认证模式？

AuthenticationMode是全局配置项，无法针对单个控制器或请求动态切换。但你不需要修改Web.config的全局认证模式来二选一，通过OWIN中间件可以同时兼容原有Forms用户名密码登录和Azure AD OIDC单点登录，具体实现步骤如下：

1. 安装必要NuGet包 #

在项目中安装以下OWIN相关包：

• Microsoft.Owin.Security.OpenIdConnect
• Microsoft.Owin.Security.Cookies
• Microsoft.Owin.Host.SystemWeb

2. 配置OWIN Startup类 #

创建或修改OWIN启动类，同时注册兼容原有Forms的Cookie认证和Azure AD OIDC认证：

using Microsoft.Owin;
using Owin;
using Microsoft.Owin.Security.Cookies;
using Microsoft.Owin.Security.OpenIdConnect;
using System.Configuration;
using System.Threading.Tasks;

[assembly: OwinStartup(typeof(YourAppName.Startup))]
namespace YourAppName
{
    public class Startup
    {
        public void Configuration(IAppBuilder app)
        {
            // 注册兼容原有Forms的Cookie认证
            app.UseCookieAuthentication(new CookieAuthenticationOptions
            {
                AuthenticationType = "Forms", // 与原有Forms认证的AuthenticationType保持一致
                LoginPath = new PathString("/Account/Login"),
                CookieName = ".ASPXAUTH" // 沿用原有Forms认证的Cookie名称，确保现有登录逻辑不受影响
            });

            // 配置Azure AD OIDC认证
            app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions
            {
                ClientId = ConfigurationManager.AppSettings["AzureAD:ClientId"],
                Authority = $"https://login.microsoftonline.com/{ConfigurationManager.AppSettings["AzureAD:TenantId"]}/v2.0",
                RedirectUri = ConfigurationManager.AppSettings["AzureAD:RedirectUri"],
                PostLogoutRedirectUri = ConfigurationManager.AppSettings["AzureAD:PostLogoutRedirectUri"],
                Scope = "openid profile email",
                ResponseType = "id_token",
                Notifications = new OpenIdConnectAuthenticationNotifications
                {
                    AuthenticationFailed = context =>
                    {
                        context.HandleResponse();
                        context.Response.Redirect("/Error?message=" + context.Exception.Message);
                        return Task.FromResult(0);
                    }
                }
            });
        }
    }
}

3. 配置Web.config #

保持原有Forms认证配置即可（无需改成AuthenticationMode.None），或者如果希望完全由OWIN接管认证，可以设置为None，两种方式都能兼容：

<authentication mode="Forms">
  <forms loginUrl="~/Account/Login" timeout="2880" />
</authentication>

4. 实现SSO控制器逻辑 #

在专门的SSO控制器中触发OIDC认证流程，原有Account控制器的用户名密码登录逻辑无需修改：

public class SsoController : Controller
{
    // 触发Azure AD单点登录
    public ActionResult Login()
    {
        if (!Request.IsAuthenticated)
        {
            // 发起OIDC认证挑战
            HttpContext.GetOwinContext().Authentication.Challenge(
                new AuthenticationProperties { RedirectUri = "/" },
                OpenIdConnectAuthenticationDefaults.AuthenticationType);
            return new HttpUnauthorizedResult();
        }
        return RedirectToAction("Index", "Home");
    }

    // 全局登出（同时清除Forms和OIDC认证信息）
    public ActionResult Logout()
    {
        HttpContext.GetOwinContext().Authentication.SignOut(
            CookieAuthenticationDefaults.AuthenticationType,
            OpenIdConnectAuthenticationDefaults.AuthenticationType);
        return RedirectToAction("Index", "Home");
    }
}

关键说明 #

• 绝对不要通过代码动态修改Web.config：修改Web.config会导致应用程序重启，且作为全局共享资源，并发场景下会引发严重的一致性问题。
• 两种认证方案独立工作：原有Account控制器的登录逻辑通过Forms认证生成的Cookie会被OWIN的Cookie认证中间件识别，SSO控制器触发的OIDC认证会生成符合标准的身份标识，两者互不干扰。
• 可通过[Authorize]属性指定认证方案（可选）：如果需要强制某个控制器使用OIDC认证，可以添加[Authorize(AuthenticationTypes = OpenIdConnectAuthenticationDefaults.AuthenticationType)]。

内容的提问来源于stack exchange，提问作者dzenesiz