ASP.NET WebForms中C# If Else逻辑无法正确控制AD安全组成员访问权限

咱们一步步来分析你遇到的问题：你的代码逻辑本身没错，但大概率是组名匹配的细节出了问题，导致判断条件始终不符合预期。

先确认你获取的组名到底是什么 #

首先，你需要先搞清楚groupNames里实际存的是什么内容——因为有时候我们以为的组名和AD里实际返回的可能不一样。你可以临时加一段调试代码，把所有获取到的组名打印出来：

PrincipalContext ctx = new PrincipalContext(ContextType.Domain);
var currentUser = UserPrincipal.FindByIdentity(ctx, User.Identity.Name);
var groups = currentUser.GetAuthorizationGroups();

// 临时输出所有组的名称和SamAccountName，方便排查
foreach (var group in groups)
{
    Response.Write($"组显示名称：{group.Name} | 组SamAccountName：{group.SamAccountName}<br>");
}

运行这段代码后，你就能看到实际拿到的组名是否和你预期的Admins、Mgrs一致。

最常见的两个问题及解决方法 #

1. 用了组的「显示名称」而非「SamAccountName」 #

AD里的组有两个常用名称：Name是组的显示名称（可能包含空格或特殊格式），而SamAccountName是组的登录名/系统识别名（也就是我们通常用来做权限判断的短名称）。

你原来的代码用了x.Name，如果AD里组的显示名称和你判断的Admins不一致（比如显示名称是「管理员组」，但SamAccountName是Admins），那判断肯定会失败。

解决方法：把获取组名的代码改成用SamAccountName：

IEnumerable<string> groupSamNames = groups.Select(x => x.SamAccountName);

2. 大小写不匹配导致Contains判断失败 #

string.Contains()默认是区分大小写的，如果AD里的组名是admins全小写，而你判断的是Admins，那Contains会返回false。

解决方法：用不区分大小写的比较方式，比如用Any()结合string.Equals：

var isAuthorized = groupSamNames.Any(g => 
    string.Equals(g, "Admins", StringComparison.OrdinalIgnoreCase) 
    || string.Equals(g, "Mgrs", StringComparison.OrdinalIgnoreCase)
);

if (!isAuthorized)
{
    Response.Redirect("~/AccessDenied.aspx");
}

或者统一转成小写后再判断：

var lowerGroupNames = groupSamNames.Select(g => g?.ToLowerInvariant() ?? string.Empty);
if (!(lowerGroupNames.Contains("admins") || lowerGroupNames.Contains("mgrs")))
{
    Response.Redirect("~/AccessDenied.aspx");
}

优化代码的健壮性 #

另外，建议你加上一些空值判断，避免因为获取不到用户或组导致的异常：

PrincipalContext ctx = new PrincipalContext(ContextType.Domain);
var currentUser = UserPrincipal.FindByIdentity(ctx, User.Identity.Name);

// 如果找不到当前用户，直接拒绝访问
if (currentUser == null)
{
    Response.Redirect("~/AccessDenied.aspx");
    return;
}

var groups = currentUser.GetAuthorizationGroups();
if (groups == null)
{
    Response.Redirect("~/AccessDenied.aspx");
    return;
}

// 获取组的SamAccountName，并过滤空值
var groupSamNames = groups.Select(x => x.SamAccountName).Where(n => !string.IsNullOrEmpty(n));

var isAuthorized = groupSamNames.Any(g => 
    string.Equals(g, "Admins", StringComparison.OrdinalIgnoreCase) 
    || string.Equals(g, "Mgrs", StringComparison.OrdinalIgnoreCase)
);

if (!isAuthorized)
{
    Response.Redirect("~/AccessDenied.aspx");
}

为什么你原来的逻辑失效？ #

• 第一种逻辑所有人被阻止：说明groupNames.Contains("Admins")和Contains("Mgrs")对所有用户都返回false——本质是组名不匹配（要么是用了显示名称，要么是大小写问题）。
• 第二种逻辑所有人被允许：大概率是你调试时的误判，或者groupNames里存在空字符串/特殊值导致Contains意外返回true，但更可能还是组名匹配的问题。

内容的提问来源于stack exchange，提问作者user1916528