Windows身份验证后验证数据库用户存在以管控访问的实现方案

你的当前实现能满足功能需求，但确实存在不够规范和效率问题，并非最佳处理方式，以下是具体分析和优化方案：

当前实现的问题 #

1. 身份验证判断不准确：依赖Authorization请求头判断用户是否已认证不可靠，Windows身份验证成功后，context.User.Identity.IsAuthenticated才是判断用户是否合法认证的标准。
2. 全局无差别执行：当前中间件会对所有请求（包括静态资源、错误页面）执行数据库查询，完全没必要，会额外增加数据库压力。
3. 同步IO阻塞线程：使用SingleOrDefault同步查询数据库，会阻塞请求处理线程，不符合ASP.NET Core异步优先的设计原则。
4. 重定向后未终止请求：调用Redirect后未终止后续中间件执行，可能导致逻辑冲突或无效操作。

优化方案 #

方案一：使用ASP.NET Core内置授权系统（推荐） #

利用框架原生的授权体系，更符合规范且扩展性更强，步骤如下：

1. 配置授权策略与服务
   在ConfigureServices中添加授权策略和自定义需求处理程序：

public void ConfigureServices(IServiceCollection services)
{
    // ...其他配置
    services.AddDbContext<ApplicationDbContext>(options =>
        options.UseSqlServer(Configuration.GetConnectionString("DefaultConnection")));

    // 添加授权策略
    services.AddAuthorization(options =>
    {
        options.AddPolicy("ValidDbUser", policy =>
            policy.Requirements.Add(new ValidDbUserRequirement()));
    });
    // 注册需求处理服务
    services.AddScoped<IAuthorizationHandler, ValidDbUserHandler>();
}

2. 实现自定义授权需求与处理逻辑
   创建两个类，分别定义授权需求和验证逻辑：

// 空类作为授权需求标记
public class ValidDbUserRequirement : IAuthorizationRequirement { }

public class ValidDbUserHandler : AuthorizationHandler<ValidDbUserRequirement>
{
    private readonly ApplicationDbContext _dbContext;

    public ValidDbUserHandler(ApplicationDbContext dbContext)
    {
        _dbContext = dbContext;
    }

    protected override async Task HandleRequirementAsync(AuthorizationHandlerContext context, ValidDbUserRequirement requirement)
    {
        // 仅处理已认证的Windows用户
        if (context.User.Identity is WindowsIdentity windowsIdentity && windowsIdentity.IsAuthenticated)
        {
            var userName = context.User.Identity.Name;
            // 使用异步查询避免线程阻塞
            var userInDb = await _dbContext.Users.SingleOrDefaultAsync(u => u.Login == userName && u.Active);
            
            if (userInDb != null)
            {
                context.Succeed(requirement);
            }
            else
            {
                context.Fail();
            }
        }
        else
        {
            context.Fail();
        }
    }
}

3. 启用授权并配置全局保护（可选）
   在Configure中添加授权中间件，可选择全局保护所有路由或在控制器/Action上标记[Authorize(Policy = "ValidDbUser")]：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // ...其他中间件（如异常处理、静态文件）
    app.UseAuthentication();
    app.UseAuthorization(); // 必须在UseAuthentication之后

    // 全局保护路由，跳过静态资源和错误页面
    app.Use(async (context, next) =>
    {
        var endpoint = context.GetEndpoint();
        var requestPath = context.Request.Path;
        
        if (endpoint?.Metadata.GetMetadata<IAllowAnonymous>() == null &&
            !requestPath.StartsWithSegments("/noaccess.html") &&
            !requestPath.StartsWithSegments("/css") &&
            !requestPath.StartsWithSegments("/js"))
        {
            var authService = context.RequestServices.GetRequiredService<IAuthorizationService>();
            var result = await authService.AuthorizeAsync(context.User, "ValidDbUser");
            
            if (!result.Succeeded)
            {
                context.Response.Redirect("/noaccess.html");
                return; // 终止后续中间件执行
            }
        }
        await next.Invoke();
    });

    // ...路由配置
}

方案二：快速优化现有中间件 #

如果不想重构为授权系统，可修改现有中间件解决核心问题：

// 放在app.UseAuthentication()之后
app.Use(async (context, next) =>
{
    var requestPath = context.Request.Path;
    // 仅处理已认证用户，跳过静态资源和错误页面
    if (context.User.Identity.IsAuthenticated &&
        !requestPath.StartsWithSegments("/noaccess.html") &&
        !requestPath.StartsWithSegments("/css") &&
        !requestPath.StartsWithSegments("/js") &&
        !requestPath.StartsWithSegments("/images"))
    {
        var dbContext = context.RequestServices.GetRequiredService<ApplicationDbContext>();
        var userName = context.User.Identity.Name;
        // 使用异步查询
        var userInDb = await dbContext.Users.SingleOrDefaultAsync(u => u.Login == userName && u.Active);

        if (userInDb == null)
        {
            context.Response.Redirect("/noaccess.html");
            return; // 重定向后终止执行
        }
    }

    await next.Invoke();
});

总结 #

• 优先选择方案一，ASP.NET Core授权系统是为这类权限校验场景设计的，支持策略组合、角色控制、自定义扩展，长期维护性更强。
• 方案二适合快速调整，但扩展性和规范性不如原生授权体系。

内容的提问来源于stack exchange，提问作者Dreidel