如何检查Azure AD多租户ASP.NET应用登录用户的有效许可？

嘿，刚好我之前做过多租户Azure AD + ASP.NET OWIN的许可校验场景，给你分享下可行的方案和思路！

一、常规的许可校验方式 #

这类方式是让用户先完成Azure AD登录，之后再校验许可权限，适合需要给用户展示部分公共内容，仅限制核心功能访问的场景：

• 利用Azure AD应用角色/安全组
  如果你的许可可以通过角色或组来划分（比如“付费用户”角色），可以在Azure AD应用注册里定义对应的应用角色，然后给符合条件的用户或组分配该角色。登录后，你可以从用户的Claims集合中读取角色信息，判断是否持有有效许可：

  // 在Controller或视图中获取角色
  var hasValidLicense = User.Claims.Any(c => c.Type == "roles" && c.Value == "PaidUser");
  if (!hasValidLicense)
  {
      return RedirectToAction("AccessDenied", "Account");
  }
  

• 自定义许可存储 + Microsoft Graph API辅助
  如果许可逻辑更复杂（比如和用户订阅状态绑定），可以在自己的数据库中维护用户（关联租户ID tid和用户ID oid）的许可状态。登录后，调用Microsoft Graph API获取用户的基本信息，再结合数据库中的记录校验许可：

  // 示例：获取用户租户ID和用户ID
  var tenantId = User.Claims.FirstOrDefault(c => c.Type == "tid")?.Value;
  var userId = User.Claims.FirstOrDefault(c => c.Type == ClaimTypes.NameIdentifier)?.Value;
  
  // 调用自定义服务校验许可
  var licenseService = new LicenseValidationService();
  bool hasValidLicense = await licenseService.CheckUserLicenseAsync(tenantId, userId);
  

二、中断OWIN登录流程实现前置校验 #

如果你希望在用户完成Azure AD认证后、正式登录到应用前就校验许可，不符合条件直接终止流程，完全可以通过OWIN的认证事件来实现：

核心是利用OpenIdConnectAuthenticationOptions中的SecurityTokenValidated事件——这个事件会在Azure AD返回的令牌验证通过后触发，此时还未完成用户登录的最终步骤，刚好可以插入许可校验逻辑：

app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions
{
    ClientId = ConfigurationManager.AppSettings["AzureAd:ClientId"],
    Authority = ConfigurationManager.AppSettings["AzureAd:Authority"],
    RedirectUri = ConfigurationManager.AppSettings["AzureAd:RedirectUri"],
    // 其他基础配置...
    
    Notifications = new OpenIdConnectAuthenticationNotifications
    {
        SecurityTokenValidated = async context =>
        {
            // 从验证后的令牌中提取用户和租户标识
            var tenantId = context.AuthenticationTicket.Identity.FindFirst("tid")?.Value;
            var userId = context.AuthenticationTicket.Identity.FindFirst(ClaimTypes.NameIdentifier)?.Value;
            
            // 执行许可校验逻辑
            bool hasValidLicense = await ValidateUserLicense(tenantId, userId);
            
            if (!hasValidLicense)
            {
                // 中断登录流程，跳转到无权限页面
                context.Response.Redirect("/Account/AccessDenied");
                context.HandleResponse(); // 必须调用这个方法终止后续流程
            }
        }
    }
});

三、关键注意事项 #

• 缓存校验结果：频繁调用Graph API或查询数据库会影响性能，建议将许可校验结果存入用户的Claims（在SecurityTokenValidated事件中添加自定义Claim），或者存入Session/分布式缓存，设置合理的过期时间。
• 多租户适配：不同租户的许可规则可能不同，一定要结合租户ID（tid Claim）来做校验，避免跨租户的权限混乱。
• 权限粒度控制：如果需要细粒度的功能许可，可以结合应用角色和自定义许可逻辑——用角色控制大的权限范围，用自定义存储控制具体功能的访问权限。

内容的提问来源于stack exchange，提问作者rgullhaug