Blazor中基于LDAP实现身份认证与授权的方案咨询

核心实现逻辑 #

ASP.NET Core Identity本身是存储无关的，不需要强制依赖EF Core和数据库，只需要自定义实现Identity要求的存储接口，就能无缝对接LDAP数据源，不需要额外新增Controller。 #

具体实现步骤 #

1. 实现自定义LDAP用户存储 #

基于你已经完成的Novell LDAP类库，实现以下Identity核心接口（可按需扩展其他接口）：

// 示例自定义存储类结构
public class LdapUserStore : IUserStore<IdentityUser>, IUserPasswordStore<IdentityUser>, IUserRoleStore<IdentityUser>
{
    // 注入你自己写的LDAP操作服务
    private readonly LdapService _ldapService;
    
    public LdapUserStore(LdapService ldapService)
    {
        _ldapService = ldapService;
    }

    // 按用户名查询用户：调用LDAP查用户是否存在
    public Task<IdentityUser> FindByNameAsync(string normalizedUserName, CancellationToken cancellationToken)
    {
        var ldapUser = _ldapService.GetUser(normalizedUserName);
        return Task.FromResult(ldapUser == null ? null : new IdentityUser
        {
            UserName = ldapUser.UserName,
            Email = ldapUser.Email,
            Id = ldapUser.UserId
        });
    }

    // 密码校验：直接调用LDAP的账号密码校验能力，不需要本地哈希计算
    public Task<bool> CheckPasswordAsync(IdentityUser user, string password)
    {
        return Task.FromResult(_ldapService.ValidateUser(user.UserName, password));
    }

    // 获取用户角色：返回LDAP中查询到的用户所属组
    public Task<IList<string>> GetRolesAsync(IdentityUser user, CancellationToken cancellationToken)
    {
        var groups = _ldapService.GetUserGroups(user.UserName);
        return Task.FromResult<IList<string>>(groups);
    }

    // 其他接口如果不需要可以直接抛出NotImplementedException，或者按需实现
    public void Dispose() { }
    // 剩余接口实现省略，按需补全即可
}

2. 调整服务注册配置 #

删除原来的数据库上下文注册和EF存储注册逻辑，替换为自定义存储的注册：

// 注册你自己的LDAP操作服务
services.AddSingleton<LdapService>();
// 注册自定义LDAP用户存储
services.AddScoped<IUserStore<IdentityUser>, LdapUserStore>();
services.AddScoped<IUserPasswordStore<IdentityUser>, LdapUserStore>();
services.AddScoped<IUserRoleStore<IdentityUser>, LdapUserStore>();
// 注册Identity，无需绑定EF存储
services.AddDefaultIdentity<IdentityUser>(options => 
{
    options.SignIn.RequireConfirmedAccount = false;
    // 其他Identity配置按需调整
});
// 你原来的定时重校验逻辑无需修改，会自动适配自定义存储
services.AddScoped<AuthenticationStateProvider, RevalidatingIdentityAuthenticationStateProvider<IdentityUser>>();

如果需要自定义登录后的Claims（比如把LDAP的员工号、部门等信息存入身份凭证），可以额外实现IUserClaimsPrincipalFactory<IdentityUser>并注册：

services.AddScoped<IUserClaimsPrincipalFactory<IdentityUser>, LdapClaimsFactory>();

3. 中间件配置无需调整 #

你原来的认证授权中间件配置可以完全保留：

app.UseAuthentication();
app.UseAuthorization();

后续使用方式 #

整套逻辑和原数据库存储的Identity使用方式完全一致：

• 直接使用默认的Identity登录页面，无需额外开发Controller接口
• 页面授权可以直接用[Authorize]特性、<AuthorizeView>组件
• 角色校验可以直接用[Authorize(Roles = "LDAP组名")]，和原逻辑完全兼容

注意事项 #

• LDAP连接建议做池化管理，避免每次请求新建连接产生性能损耗
• 不需要本地存储用户密码，所有密码校验都直接请求LDAP服务器完成，避免密码泄露风险
• LDAP服务不可用时建议做降级处理，给用户返回友好提示

内容的提问来源于stack exchange，提问作者Wojciech Szabowicz