能否结合Azure AD与Core Identity Roles实现混合身份角色管理

现有方案可行性确认 #

你提出的通过扩展ClaimsPrincipal生成逻辑追加角色声明的方案完全可行，属于官方推荐的标准实现路径。

具体实现逻辑 #

你可以通过实现ASP.NET Core内置的IClaimsTransformation接口完成需求，步骤如下：

• 用户通过Azure AD完成登录后，IClaimsTransformation的TransformAsync方法会被触发，你可以从传入的ClaimsPrincipal中提取用户唯一标识（一般为oid声明，即Azure AD用户对象ID，也可以用preferred_username声明匹配）
• 用提取到的用户标识查询本地AspNetUsers表，匹配到对应本地用户后，再关联查询AspNetUserRoles、AspNetRoles表获取该用户的所有应用内角色
• 将角色以ClaimTypes.Role为类型追加到用户的Claims集合中，后续应用内的[Authorize(Roles = "角色名")]注解、User.IsInRole("角色名")方法都可以正常使用

更优实现方案选型 #

你可以根据实际业务场景选择更适配的方案：

• 如果你需要同时支持本地账号登录+Azure AD联合登录：现有方案已经是最优选择，完整复用ASP.NET Core Identity的角色管理能力，不需要额外改造
• 如果你仅使用Azure AD作为唯一登录源，不需要本地账号体系：可以简化实现，只保留自定义的用户-角色映射表即可，不需要引入Identity全套表结构，降低代码冗余
• 如果你的角色变更频率低，且你有权限管理Azure AD租户的应用配置：可以直接在Azure AD的应用注册页面配置应用角色，将用户角色分配直接维护在Azure AD侧，用户登录时Azure AD会自动返回角色声明，不需要查询本地库，性能更优。该方案的局限性是不支持应用内自助修改用户角色，所有角色变更都需要在Azure AD侧操作

注意事项 #

实现IClaimsTransformation时需要保证逻辑幂等，该接口可能会被框架多次调用，追加角色声明前需要先判断对应声明是否已存在，避免重复添加
新增用户匹配的异常处理逻辑，针对Azure AD登录但未在本地绑定用户的场景，按业务规则做引导绑定或者拒绝访问处理

内容的提问来源于stack exchange，提问作者Jack Thor