.NET Framework下身份声明提供程序映射方案咨询

针对多身份提供商导致的声明类型不一致（如用户ID存在sub/uid两种形式），以下是比ActionFilter更优的几种实现方案：

1. 官方推荐：ClaimsAuthenticationManager 全局声明转换 #

这是.NET Framework中专门用于声明转换的官方扩展点，能在身份验证完成后全局统一处理所有声明，覆盖MVC和OData API的所有请求，无需在控制器层额外配置。

实现步骤： #

1. 继承ClaimsAuthenticationManager并重写Authenticate方法，实现声明映射逻辑：

public class CustomClaimsTransformer : ClaimsAuthenticationManager
{
    // 定义声明类型映射规则
    private readonly IDictionary<string, string> _claimMappings = new Dictionary<string, string>
    {
        {"sub", ClaimTypes.NameIdentifier},
        {"uid", ClaimTypes.NameIdentifier}
    };

    public override ClaimsPrincipal Authenticate(string resourceName, ClaimsPrincipal incomingPrincipal)
    {
        if (!incomingPrincipal.Identity.IsAuthenticated)
        {
            return base.Authenticate(resourceName, incomingPrincipal);
        }

        var transformedIdentity = TransformIdentity((ClaimsIdentity)incomingPrincipal.Identity);
        return new ClaimsPrincipal(transformedIdentity);
    }

    private ClaimsIdentity TransformIdentity(ClaimsIdentity identity)
    {
        var transformedClaims = new List<Claim>();

        foreach (var claim in identity.Claims)
        {
            if (_claimMappings.TryGetValue(claim.Type, out var targetType))
            {
                // 避免重复添加同类型同值的声明
                if (!transformedClaims.Any(c => c.Type == targetType && c.Value == claim.Value))
                {
                    transformedClaims.Add(new Claim(targetType, claim.Value, claim.ValueType, claim.Issuer));
                }
            }
            else
            {
                transformedClaims.Add(claim);
            }
        }

        return new ClaimsIdentity(transformedClaims, identity.AuthenticationType, identity.NameClaimType, identity.RoleClaimType);
    }
}

2. 在web.config中注册该转换器，使其全局生效：

<system.identityModel>
  <identityConfiguration>
    <claimsAuthenticationManager type="YourNamespace.CustomClaimsTransformer, YourAssemblyName" />
  </identityConfiguration>
</system.identityModel>

2. 身份验证中间件内精准处理（按提供商定制） #

如果只需要针对特定身份提供商调整声明，可以在对应身份验证中间件的回调逻辑中直接转换，灵活性更高。

以OWIN的Google OAuth2认证为例：

app.UseGoogleAuthentication(new GoogleOAuth2AuthenticationOptions
{
    ClientId = "YourClientId",
    ClientSecret = "YourClientSecret",
    Provider = new GoogleOAuth2AuthenticationProvider
    {
        OnAuthenticated = context =>
        {
            // 将Google返回的`sub`声明转换为统一的NameIdentifier
            var subClaim = context.Identity.FindFirst("sub");
            if (subClaim != null)
            {
                context.Identity.AddClaim(new Claim(ClaimTypes.NameIdentifier, subClaim.Value));
            }
            return Task.FromResult(0);
        }
    }
});

同理，针对Azure AD、自定义OAuth等提供商，都可以在各自的OnAuthenticated或类似回调中处理声明映射。

3. 自定义ClaimsPrincipal 封装统一身份属性 #

如果希望业务代码直接使用统一的身份属性（如UserId），无需关心底层声明类型，可以扩展ClaimsPrincipal，封装声明查找逻辑。

实现步骤： #

1. 自定义ClaimsPrincipal子类：

public class AppPrincipal : ClaimsPrincipal
{
    public AppPrincipal(ClaimsPrincipal principal) : base(principal)
    {
    }

    // 统一获取用户ID的属性
    public string UserId
    {
        get
        {
            // 优先级：统一声明类型 > sub > uid
            var unifiedId = FindFirst(ClaimTypes.NameIdentifier)?.Value;
            if (!string.IsNullOrEmpty(unifiedId))
                return unifiedId;

            var subId = FindFirst("sub")?.Value;
            if (!string.IsNullOrEmpty(subId))
                return subId;

            return FindFirst("uid")?.Value;
        }
    }
}

2. 在Global.asax的Application_PostAuthenticateRequest事件中替换默认Principal：

protected void Application_PostAuthenticateRequest()
{
    if (User is ClaimsPrincipal originalPrincipal)
    {
        Context.User = new AppPrincipal(originalPrincipal);
    }
}

之后在控制器或业务代码中，直接通过((AppPrincipal)User).UserId获取统一的用户ID即可。

对比ActionFilter方案的优势 #

你考虑的ActionFilter方案虽然可行，但存在以下局限：

• 执行时机晚：ActionFilter仅在控制器处理阶段生效，无法覆盖OData API的所有请求场景（如直接访问OData端点时的拦截）。
• 侵入性强：需要全局注册过滤器或在每个控制器/Action上标记，代码冗余。
• 效率较低：声明转换逻辑在请求后期执行，不如在身份验证阶段处理更高效。

而上述三种方案均在身份验证流程的早期或全局层面处理，覆盖所有请求类型，代码更简洁且符合.NET身份验证的设计规范。

内容的提问来源于stack exchange，提问作者enO87