C#中Active Directory嵌套组成员枚举与权限判断方法

你不需要必须手写递归遍历逻辑来完成用户权限校验，目前有三类成熟的实现路径，递归遍历只是其中可选的一种，绝非唯一方案：

• 推荐方案：使用.NET官方AD管理API直接完成嵌套校验
  引入System.DirectoryServices.AccountManagement命名空间下的组件即可，这套API内部已经封装了嵌套组遍历、跨域信任组识别、循环嵌套防护的逻辑，不需要自己实现递归。
  核心实现代码如下：

  using System.DirectoryServices.AccountManagement;
  
  public bool CheckUserAccess(string userSamAccountName, string accessGroupName)
  {
      // 初始化当前域上下文
      using (var ctx = new PrincipalContext(ContextType.Domain))
      {
          // 查询目标用户主体
          var user = UserPrincipal.FindByIdentity(ctx, IdentityType.SamAccountName, userSamAccountName);
          if (user == null) return false;
          
          // 查询权限组A的主体
          var accessGroup = GroupPrincipal.FindByIdentity(ctx, IdentityType.Name, accessGroupName);
          if (accessGroup == null) return false;
  
          // 第二个参数传入true即开启递归嵌套检查，自动覆盖B组这类A组下的嵌套子组成员
          return user.IsMemberOf(accessGroup, recursive: true);
      }
  }
  

  该方案适配绝大多数常规业务场景，能自动规避手写递归容易出现的死循环、跨域组识别失败、重名组匹配错误等问题。
• 高性能方案：读取用户tokenGroups属性直接匹配
  域用户登录时，域控会预先把该用户所属的所有层级嵌套组的SID全部计算完成，存入用户的tokenGroups属性中。你可以直接读取这个属性的SID列表，和A组的SID做比对即可，全程不需要做任何递归遍历，性能远高于手动遍历组关系，适合高并发的权限校验接口场景。
• 自定义递归方案：仅适合有特殊定制需求的场景
  如果你需要在遍历过程中记录用户命中的具体子组、过滤特定类型的组（比如排除通讯组、只校验安全组），才需要自行实现递归遍历逻辑，实现时必须注意三点：
  1. 不要用组名做匹配，统一用组SID做唯一标识，避免重名组导致判断错误
  2. 维护一个已遍历组的哈希集合，遇到已经检查过的组直接跳过，避免AD配置出现循环嵌套时引发栈溢出
  3. 跨域场景下需要单独处理信任林的组查询逻辑，否则会漏判跨域加入的嵌套组成员

核心结论 #

递归遍历绝非唯一的实现方式，常规业务场景优先用官方封装好的带递归参数的校验方法即可，高并发场景优先选读取tokenGroups直接匹配的方案，只有需要定制遍历逻辑时才需要自行实现递归。

内容的提问来源于stack exchange，提问作者Amin Mirzanejad