.NET 7 MVC中Windows认证结合IUserClaimsPrincipalFactory的实现问询

你的需求完全可行，核心问题在于你混用了Identity表单认证和Windows认证的配置，导致自定义的IUserClaimsPrincipalFactory无法触发——该工厂是为Identity框架的IdentityUser设计的，而Windows认证生成的ClaimsPrincipal基于WindowsIdentity，与Identity体系不兼容。以下是修正后的实现方案：

关键问题分析 #

1. 冗余配置冲突：你同时添加了AddDefaultIdentity和WindowsAuthentication，前者会默认注册Cookie认证方案并覆盖Windows认证的优先级，导致Windows认证的Principal无法触发Identity体系的Claims工厂。
2. IUserClaimsPrincipalFactory不适用：该接口是Identity框架专属，仅处理IdentityUser类型的用户，Windows认证生成的Principal不属于此范畴，因此你的自定义工厂不会被调用。
3. IClaimsTransformation是可行方案：你之前的实现可能存在逻辑问题，该接口是.NET认证体系通用的Claims扩展机制，完全适用于Windows认证场景。

实现步骤 #

1. 清理冗余配置 #

移除所有与AddDefaultIdentity相关的代码，我们不需要Identity的表单登录体系，Windows认证本身已能完成用户识别。

2. 配置Windows认证 #

确保launchSettings.json中Windows认证开启、匿名认证关闭：

"iisSettings": {
  "windowsAuthentication": true,
  "anonymousAuthentication": false,
  "iisExpress": {
    "applicationUrl": "http://localhost:5000",
    "sslPort": 0
  }
}

在Program.cs中配置Windows认证服务：

var builder = WebApplication.CreateBuilder(args);

// 添加MVC服务
builder.Services.AddControllersWithViews();

// 配置Windows认证（仅保留这一处认证配置）
builder.Services.AddAuthentication(IISDefaults.AuthenticationScheme)
    .AddWindows(options =>
    {
        // 可选：配置Windows认证事件，比如从AD获取基础信息
        options.Events = new WindowsAuthenticationEvents
        {
            OnAuthenticated = context =>
            {
                // 示例：添加AD用户的显示名称到Claims
                context.Principal.Identities.First().AddClaim(
                    new Claim(ClaimTypes.GivenName, context.Identity.Name.Split('\\')[1]));
                return Task.CompletedTask;
            }
        };
    });

// 注册自定义Claims转换服务（核心：用Dapper从数据库读取用户数据）
builder.Services.AddScoped<IClaimsTransformation, CustomWindowsClaimsTransformer>();

// 配置默认授权策略：要求所有请求都经过认证
builder.Services.AddAuthorization(options =>
{
    options.FallbackPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .Build();
});

var app = builder.Build();

// 中间件顺序必须严格：认证→授权
if (!app.Environment.IsDevelopment())
{
    app.UseExceptionHandler("/Home/Error");
}
app.UseStaticFiles();
app.UseRouting();
app.UseAuthentication();
app.UseAuthorization();

app.MapControllerRoute(
    name: "default",
    pattern: "{controller=Home}/{action=Index}/{id?}");

app.Run();

3. 实现自定义Claims转换（结合Dapper） #

创建CustomWindowsClaimsTransformer类，实现IClaimsTransformation接口，在其中用Dapper读取数据库并添加自定义Claims：

using System.Security.Claims;
using System.Security.Principal;
using Dapper;
using Microsoft.Data.SqlClient;

public class CustomWindowsClaimsTransformer : IClaimsTransformation
{
    private readonly IConfiguration _configuration;

    public CustomWindowsClaimsTransformer(IConfiguration configuration)
    {
        _configuration = configuration;
    }

    public async Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)
    {
        // 克隆原Principal，避免修改系统原始对象
        var clonedPrincipal = principal.Clone() as ClaimsPrincipal ?? principal;
        var windowsIdentity = clonedPrincipal.Identity as WindowsIdentity;

        if (windowsIdentity == null || string.IsNullOrEmpty(windowsIdentity.Name))
            return clonedPrincipal;

        // 获取Windows登录用户名（格式：DOMAIN\Username）
        var fullUsername = windowsIdentity.Name;
        var username = fullUsername.Split('\\')[1]; // 提取纯用户名，根据数据库存储格式调整

        // 用Dapper查询数据库用户信息
        using var dbConnection = new SqlConnection(_configuration.GetConnectionString("DefaultConnection"));
        var userInfo = await dbConnection.QueryFirstOrDefaultAsync<DbUserInfo>(
            @"SELECT UserId, Role, Department, Email 
              FROM UserProfiles 
              WHERE Username = @Username",
            new { Username = username });

        if (userInfo == null)
            return clonedPrincipal;

        // 向Claims中添加自定义数据
        var claimsIdentity = clonedPrincipal.Identities.First();
        claimsIdentity.AddClaims(new[]
        {
            new Claim("UserId", userInfo.UserId.ToString()),
            new Claim(ClaimTypes.Role, userInfo.Role),
            new Claim("Department", userInfo.Department),
            new Claim(ClaimTypes.Email, userInfo.Email)
        });

        return clonedPrincipal;
    }
}

// 数据库用户信息实体类
public class DbUserInfo
{
    public int UserId { get; set; }
    public string Role { get; set; }
    public string Department { get; set; }
    public string Email { get; set; }
}

验证方法 #

在Controller中可以通过User.Claims访问自定义添加的Claims：

public IActionResult Index()
{
    var userId = User.FindFirstValue("UserId");
    var userRole = User.FindFirstValue(ClaimTypes.Role);
    return View();
}

内容的提问来源于stack exchange，提问作者zesaro