如何在静态类中访问ClaimsPrincipal？

• Controller中可以直接访问ClaimsPrincipal是因为ASP.NET框架在请求管道中，自动给Controller的User属性绑定了当前请求关联的用户身份实例。而System.Security.Claims.ClaimsPrincipal.Current在ASP.NET Core环境中默认是不启用填充的，所以静态类直接调用该属性会拿到null，无法获取到用户Claim集合。

方案1：ASP.NET Core环境推荐方案（基于IHttpContextAccessor实现） #

这是官方推荐的安全实现方式，步骤如下：

1. 先在启动配置中注册IHttpContextAccessor服务：

// .NET 6+ Program.cs
builder.Services.AddHttpContextAccessor();

// 老版Startup.cs ConfigureServices方法中添加
services.AddHttpContextAccessor();

2. 调整ClaimsHelper静态类的实现，两种写法可选：

写法A：调用时传入访问器（无全局状态，更安全） #

using Microsoft.AspNetCore.Http;
using System.Security.Claims;

public static class ClaimsHelper
{
    public static List<Claim> GetCurrentUser(IHttpContextAccessor httpContextAccessor)
    {
        var currentUser = httpContextAccessor?.HttpContext?.User;
        // 无有效用户时返回空集合，也可根据业务需求抛出异常
        return currentUser?.Claims.ToList() ?? new List<Claim>();
    }
}

调用时在对应业务类（Controller、Service等）的构造函数中注入IHttpContextAccessor，再传入方法即可。

写法B：静态类全局绑定访问器（调用无需传参，适合老项目迁移） #

using Microsoft.AspNetCore.Http;
using System.Security.Claims;

public static class ClaimsHelper
{
    public static IHttpContextAccessor HttpContextAccessor { get; set; }

    public static List<Claim> GetCurrentUser()
    {
        var currentUser = HttpContextAccessor?.HttpContext?.User;
        return currentUser?.Claims.ToList() ?? new List<Claim>();
    }
}

在程序启动完成后给静态属性赋值：

// .NET 6+ Program.cs 中构建完app之后添加
var app = builder.Build();
ClaimsHelper.HttpContextAccessor = app.Services.GetRequiredService<IHttpContextAccessor>();

注意：该写法不要在非请求线程的后台任务中调用，否则会拿到空集合

方案2：兼容旧写法，开启ClaimsPrincipal.Current支持 #

如果是ASP.NET Framework迁移过来的项目，想要保留原有的ClaimsPrincipal.Current调用逻辑，可以在启动配置中开启兼容：

// Program.cs中添加
AppContext.SetSwitch("System.Security.Claims.ClaimsPrincipal.Current.Enabled", true);

该方案存在上下文不一致的风险，非必要不推荐使用

内容的提问来源于stack exchange，提问作者Jay