ASP.NET Core MVC6动态Claims授权无法持久化问题求助

以下是你当前缺少的关键配置步骤：

1. 配置认证服务与外部SSO集成 #

你仅配置了授权策略，但未正确设置认证服务对接外部SSO并持久化Claims。需要在Program.cs中添加认证服务配置，以Cookie作为本地持久化载体（外部SSO回调后将Claims存储到Cookie）：

builder.Services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme; // 替换为你的SSO认证方案
})
.AddCookie(CookieAuthenticationDefaults.AuthenticationScheme)
.AddOpenIdConnect(OpenIdConnectDefaults.AuthenticationScheme, options =>
{
    // 配置你的外部SSO参数：Authority、ClientId、ClientSecret等
    options.Authority = "你的SSO授权服务器地址";
    options.ClientId = "你的客户端ID";
    options.ClientSecret = "你的客户端密钥";
    options.ResponseType = "code";
    options.SaveTokens = true;
});

2. 注册自定义Claims转换服务 #

如果你的动态Claims生成逻辑是通过自定义转换实现的，需要将其注册到DI容器中，确保每次请求都能触发Claims转换并更新Principal：

// 替换为你的自定义ClaimsTransformer类
builder.Services.AddScoped<IClaimsTransformation, CustomClaimsTransformer>();

3. 调整中间件管道顺序 #

必须保证认证中间件在授权中间件之前执行，这样请求进入时先完成认证，HttpContext.User才会被正确赋值。在Program.cs的管道配置中：

app.UseRouting();

// 先执行认证
app.UseAuthentication();
// 再执行授权
app.UseAuthorization();

app.MapControllerRoute(
    name: "default",
    pattern: "{controller=Home}/{action=Index}/{id?}");

4. 在SSO回调时持久化动态Claims #

如果你的动态Claims是在SSO验证通过后添加的，需要在SSO认证事件中更新认证票据，确保新Claims被写入Cookie：

在OpenIdConnect的配置中添加OnTokenValidated事件：

options.Events = new OpenIdConnectEvents
{
    OnTokenValidated = async context =>
    {
        // 调用你的逻辑生成动态Claims
        var customClaims = await GenerateDynamicClaimsAsync(context.Principal);
        var identity = context.Principal.Identity as ClaimsIdentity;
        identity.AddClaims(customClaims);
        
        // 重新签发认证票据，将新Claims持久化到Cookie
        await context.SignInAsync(CookieAuthenticationDefaults.AuthenticationScheme, context.Principal);
    }
};

5. 替换Thread.CurrentPrincipal为HttpContext.User #

ASP.NET Core中已不再推荐使用Thread.CurrentPrincipal，控制器中应通过HttpContext.User获取ClaimsPrincipal，视图中直接使用User属性：

• 控制器示例：

var userId = User.FindFirstValue(ClaimTypes.NameIdentifier);

• 视图示例：

@User.FindFirstValue(ClaimTypes.NameIdentifier)

内容的提问来源于stack exchange，提问作者Diego