非Windows账户下HttpContext.Current.User.Identity.Name的替代方案问询

针对你遇到的外部非Windows账户无法通过HttpContext.Current.User.Identity.Name获取有效标识的问题，结合你的OpenID Connect配置，提供以下几种替代方案：

1. 直接从Claims集合获取目标声明 #

外部用户的邮箱、姓名等信息通常会以Claims的形式返回，你可以直接指定声明类型来获取：

• 获取邮箱地址：
  后端代码：

  var userEmail = HttpContext.Current.User.Claims.FirstOrDefault(c => c.Type == ClaimTypes.Email)?.Value;
  

  视图中：

  @User.Claims.FirstOrDefault(c => c.Type == ClaimTypes.Email)?.Value
  

• 获取用户显示名：
  后端代码：

  var userName = HttpContext.Current.User.Claims.FirstOrDefault(c => c.Type == ClaimTypes.Name)?.Value;
  

  视图中：

  @User.Claims.FirstOrDefault(c => c.Type == ClaimTypes.Name)?.Value
  

2. 修改NameClaimType配置 #

你当前配置中TokenValidationParameters.NameClaimType = ClaimTypes.Upn，但外部用户可能没有UPN（用户主体名称）或者UPN与登录邮箱不一致。可以将其改为邮箱或显示名对应的声明类型，让Identity.Name自动获取目标值：
修改Startup.Auth.cs中的TokenValidationParameters：

TokenValidationParameters = new TokenValidationParameters
{
    // 若优先用邮箱作为Identity.Name，改为ClaimTypes.Email
    NameClaimType = ClaimTypes.Email,
    // 若优先用显示名，改为ClaimTypes.Name
    // NameClaimType = ClaimTypes.Name,
    RoleClaimType = ClaimTypes.Role
},

修改后，HttpContext.Current.User.Identity.Name和@User.Identity.Name就会返回你指定的声明值，无需改动原有业务代码。

3. 封装自定义用户标识获取逻辑 #

如果需要兼顾内部Windows用户和外部用户的不同声明情况，可以封装一个扩展方法，按优先级获取有效标识：

public static class PrincipalExtensions
{
    public static string GetValidUserIdentifier(this IPrincipal user)
    {
        // 优先级：邮箱 > UPN > 原有Identity.Name
        return user.Claims.FirstOrDefault(c => c.Type == ClaimTypes.Email)?.Value
            ?? user.Claims.FirstOrDefault(c => c.Type == ClaimTypes.Upn)?.Value
            ?? user.Identity.Name;
    }
}

使用时，后端代码：

var userId = HttpContext.Current.User.GetValidUserIdentifier();

视图中：

@User.GetValidUserIdentifier()

4. 排查实际返回的Claims #

如果不确定外部用户有哪些可用声明，可以在OpenID Connect的AuthenticationValidated通知中打印所有Claims，明确可用的字段：
修改Startup.Auth.cs中的Notifications：

Notifications = new OpenIdConnectAuthenticationNotifications
{
    AuthenticationFailed = context =>
    {
        context.HandleResponse();
        context.Response.Redirect("/");
        return Task.FromResult(0);
    },
    AuthenticationValidated = context =>
    {
        // 将所有声明输出到日志（需替换为你的日志框架）
        foreach (var claim in context.AuthenticationTicket.Identity.Claims)
        {
            // Log.WriteLine($"Claim Type: {claim.Type}, Value: {claim.Value}");
        }
        return Task.FromResult(0);
    }
}

根据日志输出的声明类型，选择最适合的字段作为用户标识。

注意事项 #

确保你的Azure AD应用已配置足够的权限（比如User.Read），才能获取到用户的邮箱、姓名等声明信息。

内容的提问来源于stack exchange，提问作者csharpdev