.NET 6 Blazor WebAssembly中获取Active Directory用户组问题排查

你的代码逻辑本身没问题，但未获取到组声明，大概率是身份验证流程未将AD组信息注入ClaimsIdentity，或者声明类型不匹配，以下是具体排查和解决步骤：

1. 先确认Claims中是否存在组相关信息 #

先打印所有Claims的类型和值，排查组信息是否存在、以及对应的Type是什么：

foreach (var claim in ClaimsIdentity.Claims)
{
    Console.WriteLine($"Claim Type: {claim.Type}, Value: {claim.Value}");
}

• 如果输出里找不到类似GroupSid或groupsid的类型，说明身份验证环节根本没把组信息加进来；
• 如果找到其他类型的组声明（比如自定义的类型字符串），直接修改代码中的ClaimTypes.GroupSid为对应的类型即可。

2. 针对ASP.NET Core Windows身份验证的配置修正 #

如果你的项目是ASP.NET Core+Windows身份验证，默认不会自动包含AD组声明，需要手动开启：
在Program.cs中配置IIS选项，开启组信息注入：

builder.Services.Configure<IISOptions>(options =>
{
    options.IncludeWindowsGroups = true; // 关键配置，开启组声明
    options.AutomaticAuthentication = true;
});

配置后重启应用，Claims中就会出现ClaimTypes.GroupSid类型的声明。

3. 不依赖Claims的替代方案（直接查询AD） #

如果身份验证流程无法注入组信息，或者旧库弃用后需要更可靠的方式，可以直接通过System.DirectoryServices.AccountManagement库查询AD获取用户组（该库在.NET Core/.NET 5+中仍可用）：

using System.DirectoryServices.AccountManagement;

// 初始化AD域上下文
using (var domainContext = new PrincipalContext(ContextType.Domain))
{
    // 根据当前用户名查找用户对象
    using (var currentUser = UserPrincipal.FindByIdentity(domainContext, User.Identity.Name))
    {
        if (currentUser != null)
        {
            // 获取用户所属的所有AD组
            var userGroups = currentUser.GetGroups();
            foreach (var group in userGroups)
            {
                string groupName = group.Name;
                // 处理组信息
            }
        }
    }
}

注意：运行此代码的应用账号需要有读取AD用户组信息的权限，否则会抛出权限不足的异常。

4. 排查声明类型匹配问题 #

ClaimTypes.GroupSid对应的底层字符串是http://schemas.microsoft.com/ws/2008/06/identity/claims/groupsid，有些身份提供者可能直接使用这个完整Uri作为声明类型，而非ClaimTypes.GroupSid枚举值。如果之前的打印结果里出现这个Uri，修改代码中的判断条件即可：

var claims = ClaimsIdentity.Claims.Where(q => q.Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/groupsid")
                                 .Select(q => q.Value);

内容的提问来源于stack exchange，提问作者Mr. Meeseeks