如何在ASP.NET Core中通过配置实现AD组授权避免硬编码？

首先得明确：ASP.NET Core的授权系统和旧版.NET MVC完全不同，原来web.config里的<authorization>节点只对静态资源的访问控制有效，对控制器/Action的授权逻辑完全不生效，这就是你遇到“能拒绝匿名但所有用户都被授权”的核心原因。

下面给你两种非硬编码的解决方案，都能实现不同环境灵活配置AD组：

方案一：用appsettings.json配置（推荐） #

这种方式可以针对不同环境（开发/测试/生产）用不同的配置文件，完全不用修改代码。

1. 添加配置节点
   在项目根目录的appsettings.json里新增授权配置：

{
  "AuthorizationSettings": {
    "AllowedADGroups": "Domain\\MyADGroupToHaveAccess"
    // 如果需要多个组，用分号分隔："Domain\\Group1;Domain\\Group2"
  }
}

不同环境可以创建对应的配置文件（比如appsettings.Production.json），覆盖这个值即可，发布时会自动加载对应环境的配置。

2. 在Startup中配置授权策略
   在Startup.cs的ConfigureServices方法里，读取配置并注册全局授权策略：

public void ConfigureServices(IServiceCollection services)
{
    // 启用Windows身份验证
    services.AddAuthentication(IISDefaults.AuthenticationScheme);

    // 从配置读取允许的AD组，处理空值和多组情况
    var allowedGroups = Configuration.GetSection("AuthorizationSettings:AllowedADGroups").Value
        ?.Split(';', StringSplitOptions.RemoveEmptyEntries) ?? Array.Empty<string>();

    // 配置授权策略
    services.AddAuthorization(options =>
    {
        // 创建一个基于AD组的专属策略
        options.AddPolicy("ADGroupAccess", policy =>
        {
            policy.RequireRole(allowedGroups);
        });

        // 可选：设置为全局默认策略，这样所有控制器自动应用该授权，无需手动加[Authorize]
        options.DefaultPolicy = options.GetPolicy("ADGroupAccess");
    });

    services.AddMvc();
}

3. 启用身份验证中间件
   在Configure方法里，确保UseAuthentication在UseMvc之前调用，顺序很重要：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    // ...其他中间件（比如异常处理、静态文件）...

    app.UseAuthentication(); // 必须在UseMvc之前执行
    app.UseMvc(routes =>
    {
        routes.MapRoute(
            name: "default",
            template: "{controller=Home}/{action=Index}/{id?}");
    });
}

如果不想全局应用授权，也可以在需要授权的控制器/Action上添加[Authorize(Policy = "ADGroupAccess")]，策略名是固定的，AD组从配置读取，完全不用硬编码。

方案二：用环境变量配置 #

如果你的部署环境更适合用环境变量（比如容器化部署、云服务器），可以直接把AD组配置到环境变量中，然后在Startup里读取：

1. 设置环境变量
   比如在Windows服务器上设置环境变量ALLOWED_AD_GROUPS为Domain\\MyADGroupToHaveAccess，多个组用分号分隔；Linux环境则对应设置环境变量即可。

2. 在Startup中读取环境变量
   修改ConfigureServices里的代码：

public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthentication(IISDefaults.AuthenticationScheme);

    // 从环境变量读取允许的AD组
    var allowedGroups = Environment.GetEnvironmentVariable("ALLOWED_AD_GROUPS")
        ?.Split(';', StringSplitOptions.RemoveEmptyEntries) ?? Array.Empty<string>();

    // 后面的授权策略配置和方案一完全一致
    services.AddAuthorization(options =>
    {
        options.AddPolicy("ADGroupAccess", policy =>
        {
            policy.RequireRole(allowedGroups);
        });
        options.DefaultPolicy = options.GetPolicy("ADGroupAccess");
    });

    services.AddMvc();
}

额外注意事项 #

• 确保IIS站点已经启用Windows身份验证并禁用匿名身份验证，和旧版MVC的IIS配置要求一致。
• ASP.NET Core 2.0中，IISDefaults.AuthenticationScheme对应的是Negotiate和NTLM，会自动处理Windows身份验证的流程，无需额外配置。

内容的提问来源于stack exchange，提问作者Morten_564834