ASP.NET Core单请求中如何保留多个ClaimsPrincipal？

1. 合并客户端与用户的Claims到同一个ClaimsPrincipal #

验证用户成功后，不要直接覆盖HttpContext.User，而是将客户端认证的Claims合并到用户的ClaimsPrincipal中，可给客户端Claim添加前缀避免冲突：

// 假设已获取验证后的客户端ClaimsPrincipal
var clientPrincipal = ...;
// 获取用户的ClaimsPrincipal
var userPrincipal = await _signInManager.CreateUserPrincipalAsync(user);

// 合并客户端Claim到用户Principal
foreach (var claim in clientPrincipal.Claims)
{
    userPrincipal.Identities.First().AddClaim(new Claim($"client_{claim.Type}", claim.Value));
}

// 设置合并后的Principal并登录
HttpContext.User = userPrincipal;
await HttpContext.SignInAsync(CookieAuthenticationDefaults.AuthenticationScheme, userPrincipal);

2. 用HttpContext.Items临时存储客户端认证信息 #

客户端验证通过后，将其ClaimsPrincipal存入HttpContext.Items，该存储仅在当前请求生命周期内有效，适合单次请求内的场景：

// 客户端验证成功后存入
HttpContext.Items["ClientPrincipal"] = clientPrincipal;

// 后续需要使用时读取
if (HttpContext.Items.TryGetValue("ClientPrincipal", out var obj) && obj is ClaimsPrincipal clientPrincipal)
{
    // 读取客户端认证信息逻辑
}

3. 手动触发认证，避免自动覆盖HttpContext.User #

修改认证配置，将自定义客户端认证方案设为非默认，然后手动调用认证获取结果，不自动覆盖HttpContext.User：

// 配置认证服务
services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = CookieAuthenticationDefaults.AuthenticationScheme;
})
.AddCookie()
.AddScheme<CustomClientAuthOptions, CustomClientAuthHandler>("ClientAuth", options =>
{
    // 自定义客户端认证方案配置
});

在业务逻辑中手动执行认证：

// 手动验证客户端，获取结果但不自动设置User
var clientAuthResult = await HttpContext.AuthenticateAsync("ClientAuth");
if (clientAuthResult.Succeeded)
{
    // 将clientAuthResult.Principal存入HttpContext.Items或合并到用户Principal
}

// 再执行用户认证
await HttpContext.AuthenticateAsync(CookieAuthenticationDefaults.AuthenticationScheme);

4. 创建包含多Identity的ClaimsPrincipal #

ClaimsPrincipal支持包含多个Identity，可将客户端和用户的Identity都加入同一个Principal：

var clientIdentity = clientPrincipal.Identities.First();
var userIdentity = userPrincipal.Identities.First();

var combinedPrincipal = new ClaimsPrincipal(new[] { clientIdentity, userIdentity });
HttpContext.User = combinedPrincipal;

后续可通过遍历HttpContext.User.Identities或结合Issuer区分不同身份的信息：

// 获取客户端特定Claim
var clientId = HttpContext.User.Claims.FirstOrDefault(c => c.Type == "ClientId" && c.Issuer == "ClientAuthIssuer")?.Value;

内容的提问来源于stack exchange，提问作者Szyszka947