Web API替换基础认证为Azure AD认证时流程中断及HttpContext.User为空问题

问题背景 #

• 原有Web API采用基础授权机制：前端在Authorization请求头中传递加密后的用户名、密码，API侧解析头信息提取登录凭据，与本地Active Directory完成用户校验。
• 改造对接Azure AD后，不再允许在Authorization头中传递用户密码，原有凭据校验流程直接中断。
• 异常表现：HttpContext.Current.User取值为null，以下依赖用户身份名初始化数据库上下文的代码运行异常：

public class UserdataController : ApiController
{
    private readonly KMMContext db = new KMMContext(HttpContext.Current?.User?.Identity?.Name ?? "");
}

根因说明 #

1. Azure AD采用OAuth2.0/OpenID Connect认证体系，和原有自定义基础认证的逻辑完全不同，没有配置对应认证中间件的情况下，框架不会自动解析请求头中的Bearer Token填充用户身份，因此HttpContext.Current.User为null。
2. 现有代码在Controller字段初始化阶段读取HttpContext.Current.User，该执行时机早于OWIN认证管道的身份赋值流程，即使后续认证正常，此处也无法拿到正确的用户信息。

修复步骤 #

• 第一步：引入Azure AD认证中间件
  安装对应NuGet包后，在OWIN启动类中配置Bearer Token校验逻辑，中间件会自动完成Azure AD颁发的Access Token合法性校验，校验通过后自动填充用户身份，无需手动解析Authorization请求头。配置参考如下：

  public void ConfigureAuth(IAppBuilder app)
  {
      app.UseWindowsAzureActiveDirectoryBearerAuthentication(
          new WindowsAzureActiveDirectoryBearerAuthenticationOptions
          {
              Tenant = "你的Azure AD租户名称",
              TokenValidationParameters = new TokenValidationParameters
              {
                  ValidAudience = "Azure AD中注册的API应用对应的应用ID URI"
              }
          });
  }
  

• 第二步：调整前端传参逻辑
  前端不再传递加密后的用户名密码，改为先通过对应OAuth2.0授权流程向Azure AD申请访问当前API的Access Token，再将Token以Bearer <token内容>的格式放入Authorization请求头传递给API。
• 第三步：修正数据库上下文初始化时机
  注意：不要在Controller构造函数、字段初始化阶段读取HttpContext相关的身份信息，该执行时机早于认证管道的身份赋值流程，哪怕认证配置完全正确，也会拿到空值。
  移除字段位置的KMMContext初始化逻辑，将初始化操作挪到Controller初始化阶段（此时认证管道已经完成身份赋值），优先使用ApiController自带的User属性获取身份信息，避免管道时序导致的空值问题，改造参考如下：

  public class UserdataController : ApiController
  {
      private KMMContext db;
      
      protected override void Initialize(HttpControllerContext controllerContext)
      {
          base.Initialize(controllerContext);
          var currentUserName = User?.Identity?.Name ?? string.Empty;
          db = new KMMContext(currentUserName);
      }
  }
  

• 第四步：验证配置正确性
  接口联调时可在Action方法内断点查看身份属性：校验通过时User.Identity.IsAuthenticated值为true，User.Identity.AuthenticationType为Bearer，User.Identity.Name对应当前登录Azure AD用户的UPN，和原有本地AD返回的用户名格式兼容，不需要额外调整KMMContext内部的业务逻辑。

内容的提问来源于stack exchange，提问作者manoj kumar