ASP.NET Core 6 MVC自定义Principal在Authorize特性下返回403错误

问题核心分析 #

你的ClaimsTransformation实现存在几个关键逻辑问题，导致身份验证上下文混乱，最终触发403禁止访问：

• 手动修改HttpContext.User和Thread.CurrentPrincipal违背了ClaimsTransformation的设计逻辑，框架会自动处理Principal的更新，手动操作会破坏身份验证状态一致性。
• 直接将原Principal的所有Claims克隆到新Identity，可能覆盖或干扰Windows身份验证的核心标识（如AuthenticationType、IsAuthenticated状态）。
• 未确保WindowsAuthenticate返回的Principal正确保留Windows身份验证的关键属性。

修正步骤 #

1. 重构ClaimsTransformation代码 #

移除手动上下文设置逻辑，仅返回转换后的Principal，交由框架自动处理上下文更新：

public class ClaimsTransformation : IClaimsTransformation
{
    private readonly IAuthenticationService _authenticationService;

    public ClaimsTransformation(IAuthenticationService authenticationService)
    {
        _authenticationService = authenticationService;
    }

    public async Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)
    {
        // 仅处理已通过Windows身份验证的用户
        if (principal == null || !principal.Identity.IsAuthenticated 
            || !string.Equals(principal.Identity.AuthenticationType, "Windows", StringComparison.OrdinalIgnoreCase))
        {
            return principal;
        }

        // 获取自定义身份验证后的Principal
        var customPrincipal = _authenticationService.WindowsAuthenticate(principal.Identity);
        var customIdentity = (ClaimsIdentity)customPrincipal.Identity;

        // 仅添加原Principal中不存在的Claims，避免冲突或重复
        foreach (var claim in principal.Claims)
        {
            if (!customIdentity.HasClaim(c => c.Type == claim.Type && c.Value == claim.Value))
            {
                customIdentity.AddClaim(claim);
            }
        }

        // 确保自定义Identity的身份验证类型与原Windows身份一致
        if (string.IsNullOrEmpty(customIdentity.AuthenticationType))
        {
            customIdentity.AuthenticationType = principal.Identity.AuthenticationType;
        }

        return customPrincipal;
    }
}

2. 验证身份验证服务配置 #

确保Program.cs中正确启用Windows身份验证并注册ClaimsTransformation，注意中间件顺序：

var builder = WebApplication.CreateBuilder(args);

// ASP.NET Core 6+推荐使用Negotiate方案启用Windows身份验证
builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
    .AddNegotiate();

// 注册自定义ClaimsTransformation
builder.Services.AddScoped<IClaimsTransformation, ClaimsTransformation>();

builder.Services.AddControllersWithViews();

var app = builder.Build();

app.UseHttpsRedirection();
app.UseStaticFiles();
app.UseRouting();

// 身份验证中间件必须在授权中间件之前
app.UseAuthentication();
app.UseAuthorization();

app.MapControllerRoute(
    name: "default",
    pattern: "{controller=Home}/{action=Index}/{id?}");

app.Run();

3. 排查授权策略与Claims #

• 检查控制器的[Authorize]特性是否带有额外角色/权限要求（如[Authorize(Roles="Admin")]），确认用户是否拥有对应的Claim。
• 调试时输出转换前后的Principal信息，验证：
  • customPrincipal.Identity.IsAuthenticated是否为true
  • customPrincipal.Identity.AuthenticationType是否为Windows
  • 关键Claims（如Name、NameIdentifier）是否存在

4. IIS部署额外检查（如果部署到IIS） #

• 确保IIS站点启用Windows身份验证，禁用匿名身份验证。
• 确认应用程序池的身份设置正确，具备访问目标资源的权限。

内容的提问来源于stack exchange，提问作者Gauravsa