如何在ASP.NET Core Razor应用中设置跨页面可用的全局管理员标识

针对你的Razor Pages内网应用，完全可以实现仅执行一次AD组验证并全局复用结果，以下是几种实用方案：

1. 推荐：Claims转换+缓存（最贴合身份认证体系） #

通过IClaimsTransformation在用户身份验证流程中注入自定义Claim，同时缓存验证结果避免重复查询AD，后续所有页面直接从User.Claims读取状态：

步骤1：实现自定义Claims转换器 #

using Microsoft.AspNetCore.Authentication;
using Microsoft.Extensions.Caching.Memory;

public class AdminClaimsTransformer : IClaimsTransformation
{
    private readonly IMemoryCache _cache;

    public AdminClaimsTransformer(IMemoryCache cache)
    {
        _cache = cache;
    }

    public async Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)
    {
        // 避免重复添加Claim
        if (principal.HasClaim(c => c.Type == "IsAdmin"))
            return principal;

        var username = principal.Identity.Name;
        var cacheKey = $"AdminStatus_{username}";

        // 优先从缓存读取，缓存有效期可根据需求调整
        if (!_cache.TryGetValue(cacheKey, out bool isAdmin))
        {
            // 调用你的静态辅助函数验证AD组
            isAdmin = YourStaticHelper.IsUserInAdminGroup(principal);
            _cache.Set(cacheKey, isAdmin, TimeSpan.FromHours(1));
        }

        var claimsIdentity = new ClaimsIdentity();
        claimsIdentity.AddClaim(new Claim("IsAdmin", isAdmin.ToString()));
        principal.AddIdentity(claimsIdentity);

        return principal;
    }
}

步骤2：注册服务 #

在Program.cs中添加：

builder.Services.AddScoped<IClaimsTransformation, AdminClaimsTransformer>();
// 确保Windows身份验证已启用
builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
    .AddNegotiate();

步骤3：页面中使用 #

任何Razor页面直接通过用户主体读取：

@if (User.Claims.FirstOrDefault(c => c.Type == "IsAdmin")?.Value == "True")
{
    <button>编辑</button>
    <button>删除</button>
}

2. 中间件+HttpContext.Items（轻量全局存储） #

通过自定义中间件在每次请求时执行一次验证，将结果存入HttpContext.Items，所有页面可直接访问：

步骤1：编写中间件 #

public class AdminCheckMiddleware
{
    private readonly RequestDelegate _next;
    private readonly IMemoryCache _cache;

    public AdminCheckMiddleware(RequestDelegate next, IMemoryCache cache)
    {
        _next = next;
        _cache = cache;
    }

    public async Task InvokeAsync(HttpContext context)
    {
        if (context.User.Identity?.IsAuthenticated == true)
        {
            var username = context.User.Identity.Name;
            var cacheKey = $"AdminStatus_{username}";

            if (!_cache.TryGetValue(cacheKey, out bool isAdmin))
            {
                isAdmin = YourStaticHelper.IsUserInAdminGroup(context.User);
                _cache.Set(cacheKey, isAdmin, TimeSpan.FromHours(1));
            }

            context.Items["IsAdmin"] = isAdmin;
        }

        await _next(context);
    }
}

步骤2：注册中间件 #

在Program.cs中放在身份验证中间件之后：

app.UseAuthentication();
app.UseAuthorization();
// 添加自定义中间件
app.UseMiddleware<AdminCheckMiddleware>();

步骤3：页面中使用 #

@if ((bool?)Context.Items["IsAdmin"] == true)
{
    <button>编辑</button>
    <button>删除</button>
}

3. 基类PageModel（页面级复用） #

创建所有页面继承的基类，在基类中统一执行验证：

步骤1：创建基类 #

using Microsoft.AspNetCore.Mvc.RazorPages;
using Microsoft.Extensions.Caching.Memory;

public class BaseAdminPageModel : PageModel
{
    private readonly IMemoryCache _cache;

    public bool IsAdmin { get; set; }

    public BaseAdminPageModel(IMemoryCache cache)
    {
        _cache = cache;
    }

    public override async Task OnPageHandlerExecutingAsync(PageHandlerExecutingContext context)
    {
        await base.OnPageHandlerExecutingAsync(context);

        if (User.Identity?.IsAuthenticated == true)
        {
            var username = User.Identity.Name;
            var cacheKey = $"AdminStatus_{username}";

            if (!_cache.TryGetValue(cacheKey, out bool isAdmin))
            {
                isAdmin = YourStaticHelper.IsUserInAdminGroup(User);
                _cache.Set(cacheKey, isAdmin, TimeSpan.FromHours(1));
            }

            IsAdmin = isAdmin;
        }
    }
}

步骤2：页面继承基类 #

public class IndexModel : BaseAdminPageModel
{
    public IndexModel(IMemoryCache cache) : base(cache)
    {
    }

    public void OnGet()
    {
        // 业务逻辑
    }
}

步骤3：页面中使用 #

@if (Model.IsAdmin)
{
    <button>编辑</button>
    <button>删除</button>
}

额外优化提示 #

• 如果你使用的Windows身份验证已经自动将AD组作为Claims注入（默认会包含groupsid类型的Claim），可以直接通过判断组SID/名称来替代自定义静态函数，无需额外查询AD：

  // 示例：判断是否属于指定SID的AD组
  isAdmin = User.Claims.Any(c => c.Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/groupsid" 
                                && c.Value == "你的管理员组SID");
  

• 缓存时长可根据你的AD组更新频率调整，比如设置为1小时或更久，减少AD查询开销。

内容的提问来源于stack exchange，提问作者Steve