ASP.NET MVC 5.2集成Azure AD：未授权角色用户的行为控制

问题原因 #

已认证用户访问带[Authorize(Roles)]特性且无对应权限的方法时，ASP.NET默认会重定向到登录页面，但用户已完成认证，导致循环跳转。需配置授权失败后的跳转逻辑，并确保Azure AD角色正确映射到用户身份声明。

解决方案步骤 #

1. 配置Cookie认证的无权限跳转路径 #

修改Startup.vb中的UseCookieAuthentication配置，添加AccessDeniedPath指定无权限时跳转的错误页面：

Public Sub Configuration(ByVal app As IAppBuilder)
    app.SetDefaultSignInAsAuthenticationType(CookieAuthenticationDefaults.AuthenticationType)
    
    ' 配置Cookie认证，指定已认证无权限时的跳转路径
    app.UseCookieAuthentication(New CookieAuthenticationOptions With {
        .AuthenticationType = CookieAuthenticationDefaults.AuthenticationType,
        .AccessDeniedPath = New PathString("/Unauthorised")
    })
    
    app.UseOpenIdConnectAuthentication(New OpenIdConnectAuthenticationOptions With {
        .ClientId = clientId,
        .Authority = authority,
        .RedirectUri = redirectUri,
        .PostLogoutRedirectUri = redirectUri,
        .Scope = OpenIdConnectScope.OpenIdProfile,
        .ResponseType = OpenIdConnectResponseType.CodeIdToken,
        .Notifications = New OpenIdConnectAuthenticationNotifications With {
            .AuthenticationFailed = AddressOf OnAuthenticationFailed,
            .SecurityTokenValidated = AddressOf OnSecurityTokenValidated ' 添加角色验证事件
        }
    })
End Sub

2. 验证并映射Azure AD角色 #

添加SecurityTokenValidated事件处理方法，确保Azure AD返回的应用角色正确添加到用户身份声明中：

Private Function OnSecurityTokenValidated(ByVal context As SecurityTokenValidatedNotification(Of OpenIdConnectMessage, OpenIdConnectAuthenticationOptions)) As Task
    ' 提取Azure AD返回的应用角色声明（默认类型为http://schemas.microsoft.com/ws/2008/06/identity/claims/role）
    Dim roleClaims = context.AuthenticationTicket.Identity.FindAll(
        New ClaimTypeEquals("http://schemas.microsoft.com/ws/2008/06/identity/claims/role")
    )
    
    ' 可选：若需自定义角色转换，可在此处处理（如统一角色格式、添加额外声明）
    
    Return Task.FromResult(0)
End Function

3. 设置全局授权（可选但推荐） #

在App_Start/FilterConfig.vb中添加全局AuthorizeAttribute，确保整个应用默认需要认证，无需逐个控制器添加特性：

Public Class FilterConfig
    Public Shared Sub RegisterGlobalFilters(ByVal filters As GlobalFilterCollection)
        filters.Add(New HandleErrorAttribute())
        ' 全局授权：所有控制器默认要求用户认证
        filters.Add(New AuthorizeAttribute())
    End Sub
End Class

4. 创建无权限错误页面 #

4.1 添加Unauthorised控制器

Public Class UnauthorisedController
    Inherits Controller

    Function Index() As ActionResult
        ' 获取可选的错误信息
        Dim errorMsg = Request.QueryString("errormessage")
        ViewBag.ErrorMessage = If(String.IsNullOrEmpty(errorMsg), 
            "您没有访问该资源的权限，请联系管理员。", 
            errorMsg
        )
        Return View()
    End Function
End Class

4.2 对应视图（Views/Unauthorised/Index.vbhtml）

@{
    ViewBag.Title = "无权限访问";
}

<h2>@ViewBag.Title</h2>
<div class="alert alert-danger">
    @ViewBag.ErrorMessage
</div>
<p>
    <a href="@Url.Action("Index", "Home")">返回首页</a>
</p>

5. 验证Azure AD角色配置 #

确保Azure AD应用注册中已正确设置：

• 应用清单的appRoles数组包含目标角色（如"value": "Access.Full"）
• 已将角色分配给对应用户或组

效果验证 #

当已认证用户访问无权限的方法时，将直接跳转至/Unauthorised页面显示权限提示，不再循环跳转至登录页。

内容的提问来源于stack exchange，提问作者Dan