ASP.NET Core中如何使用web.config配置的模拟用户执行特权代码？

在IIS环境中，因创建目录、移动文件时碰到权限拒绝错误，我在web.config里配置了拥有对应权限的模拟用户：

<identity impersonate="true" userName="DOMAIN\user123" password="password123"/>

同时把IIS的DefaultAppPool身份设置为ApplicationPoolIdentity。但调用WindowsIdentity.RunImpersonated(WindowsIdentity.GetCurrent().AccessToken, ...)执行操作时，获取到的用户却是IIS APPPOOL\DefaultAppPool，不是我配置的DOMAIN\user123，想知道问题出在哪，以及怎么正确用这个配置的用户。

• WindowsIdentity.GetCurrent()在ASP.NET经典模式下，默认返回的是应用池身份，而非web.config里配置的模拟用户。这是因为ASP.NET的模拟是在请求上下文层面生效的，而WindowsIdentity.GetCurrent()直接取的是当前进程的线程身份——用ApplicationPoolIdentity的话，进程级身份就是应用池账户。
• 你给WindowsIdentity.RunImpersonated传的是当前线程（应用池账户）的令牌，自然会以应用池身份执行操作，跟配置的模拟用户没关系。

方法1：直接用ASP.NET内置的模拟上下文 #

ASP.NET配置了<identity impersonate="true">之后，请求处理的整个上下文已经以配置的模拟用户身份运行了，根本不需要额外调用WindowsIdentity.RunImpersonated。直接执行文件操作就行，自动会用DOMAIN\user123的权限：

// 不用额外模拟，直接执行操作
Directory.CreateDirectory(@"C:\TargetPath");
File.Move(@"C:\SourceFile.txt", @"C:\TargetPath\File.txt");

方法2：手动获取模拟用户的令牌 #

如果确实需要显式用WindowsIdentity.RunImpersonated，可以通过HttpContext.Current.User.Identity拿到模拟用户的WindowsIdentity，再提取令牌来用：

var impersonatedIdentity = HttpContext.Current.User.Identity as WindowsIdentity;
if (impersonatedIdentity != null)
{
    WindowsIdentity.RunImpersonated(impersonatedIdentity.AccessToken, () =>
    {
        // 这里的操作会以DOMAIN\user123身份执行
        Directory.CreateDirectory(@"C:\TargetPath");
    });
}

注意事项 #

• 要确保DOMAIN\user123对目标目录、文件拥有读写/修改权限；如果是域环境，还得在AD里给这个用户开“作为操作系统的一部分登录”的权限。
• 如果站点运行在ASP.NET集成模式下，得确认IIS的身份验证设置（比如禁用匿名身份验证，启用Windows身份验证），保证模拟上下文能正确生效。

内容的提问来源于stack exchange，提问作者Dreidel