使用服务端Blazor+Windows身份验证时如何模拟用户连接SQL Server数据库

1. 核心错误：模拟调用使用了错误的身份令牌 #

你当前代码中WindowsIdentity.RunImpersonated传入的是WindowsIdentity.GetCurrent().AccessToken，这是应用池进程本身的服务账号令牌，等于没有做任何实际的用户模拟，自然数据库端识别的始终是应用池身份。
你需要获取当前请求客户端的Windows身份令牌进行模拟：

// 先从HttpContext中拿到客户端的WindowsIdentity
var clientIdentity = context.User.Identity as WindowsIdentity;
if (clientIdentity == null)
{
    // 处理非Windows身份的异常情况
    throw new InvalidOperationException("未获取到客户端Windows身份");
}

// 传入客户端身份的AccessToken进行模拟
WindowsIdentity.RunImpersonated(clientIdentity.AccessToken, () =>
{
    // 此处执行数据库操作
    using var cntx = new SqlDboDbContext(optionsBuilder.Options);
    Markets = cntx.Markets.ToArray();
    t1 = cntx.Transactions.ToArray();
});

提示：Blazor Server仅在初始页面请求时可以获取到完整的HttpContext，后续SignalR交互过程中HttpContextAccessor.HttpContext会返回null，建议在Scoped服务初始化时就缓存当前用户的WindowsIdentity实例，后续模拟操作直接使用缓存的身份即可。

2. 服务生命周期配置错误 #

你在Startup.cs中将WeatherForecastService注册为了Singleton单例服务，单例服务只会在第一次访问时初始化一次，后续所有用户请求都会复用同一个实例，会导致所有请求都用第一个用户的身份执行操作，必须改为Scoped生命周期：

// 替换原有Singleton注册
services.AddScoped<WeatherForecastService>();

3. 双跳场景需配置Kerberos约束委托 #

你的场景属于典型的Windows身份双跳场景：用户端认证到IIS是第一跳，IIS带着用户身份访问SQL Server是第二跳，默认情况下Windows身份不允许未经配置的第二跳，你需要在AD域控制器中配置：

• 为应用池使用的服务账号配置约束委托，允许其委托到SQL Server服务的SPN
• 确保客户端、IIS服务器、SQL Server都在同一个域或信任域内
• 确认SQL Server已经注册了正确的SPN（服务主体名称）

4. 可选：调整SQL Server连接池配置 #

如果你的业务场景下不同用户的数据库权限差异大，建议在连接字符串中添加Pooling=false禁用连接池，避免不同用户身份的连接被复用导致权限混乱：

"SQL_Server": "Data Source=[SQL server Address];Initial Catalog=Investment_Dev;Integrated Security=SSPI;Pooling=false"

5. DbContextFactory用法适配 #

如果你要使用注入的IDbContextFactory执行操作，需要在每次创建上下文和执行查询的完整过程都放在模拟上下文内，不要提前创建DbContext再传入模拟块执行。

内容的提问来源于stack exchange，提问作者Mandelbrotter