.NET Core中如何在活跃SAML会话内更新用户Claim？

可行性说明 #

当然可以在活跃SAML会话中更新特定Claim，无需重新登录。但你之前直接修改User.Identity的方式未生效，核心原因是：会话的Claims存储在Cookie或令牌中，内存里的临时修改仅在当前请求周期内有效，下一次请求会从存储介质重新加载原始Claims。

正确的.NET实现方法 #

1. 仅让当前请求生效（临时修改） #

如果只需要当前请求后续逻辑使用更新后的Claim，直接修改内存中的HttpContext.User即可，此修改仅限当前请求：

var identity = (ClaimsIdentity)HttpContext.User.Identity;
// 查找并移除旧的activeSite Claim
var oldClaim = identity.FindFirst("activeSite");
if (oldClaim != null)
{
    identity.RemoveClaim(oldClaim);
}
// 添加新值的Claim
identity.AddClaim(new Claim("activeSite", newActiveSiteValue));
// 更新HttpContext中的用户对象
HttpContext.User = new ClaimsPrincipal(identity);

2. 让后续请求均生效（持久化修改） #

要让更新后的Claim在所有后续请求中生效，需要重新生成认证票据并更新会话存储（如Cookie）：

var identity = (ClaimsIdentity)HttpContext.User.Identity;
// 移除旧的activeSite Claim
var oldClaim = identity.FindFirst("activeSite");
if (oldClaim != null)
{
    identity.RemoveClaim(oldClaim);
}
// 添加新值的Claim
identity.AddClaim(new Claim("activeSite", newActiveSiteValue));

// 获取当前认证会话的属性
var authResult = await HttpContext.AuthenticateAsync();
// 生成新的认证票据
var newTicket = new AuthenticationTicket(
    new ClaimsPrincipal(identity),
    authResult.Properties,
    authResult.Ticket.AuthenticationScheme
);

// 重新登录，更新会话Cookie以持久化修改
await HttpContext.SignInAsync(
    authResult.Ticket.AuthenticationScheme,
    new ClaimsPrincipal(identity),
    authResult.Properties
);

3. 结合SAML认证的注意事项 #

因为你基于SAML认证体系开发，还需注意：

• 仅修改activeSite这类自定义业务Claim，不要改动SAML返回的核心身份Claim
• 更新后的Claim会随SAML会话过期而失效，到期后仍需重新登录
• 前端Angular/Ionic需调用一次获取用户Claims的API接口，拿到最新的activeSite值，才能在后续请求中使用新值

你之前代码失效的原因 #

你仅修改了内存中的User.Identity，但未将修改持久化到会话存储（如Cookie）。下一次请求时，系统会从存储介质重新加载原始Claims，导致修改无法保留。必须通过SignInAsync重新生成并保存认证票据，才能让修改长期生效。

内容的提问来源于stack exchange，提问作者marvstar