ASP.NET Core 2.0 Web API如何基于Azure AD组限制访问权限？

我之前处理过类似的场景，正好可以给你一步步说清楚怎么实现你的需求——让只有指定4个Azure AD组的用户能访问API，其他用户即便能拿到有效令牌，也会被提前拦截并提示无权限，而且整个验证逻辑在Start.cs的认证流程中就完成，不用等到后续的授权逻辑。

核心思路 #

我们要利用JWT Bearer认证的TokenValidated事件——这个事件会在令牌验证通过后、进入应用授权逻辑之前触发，刚好符合你的要求。在这个事件里，我们可以检查用户令牌中的groups声明（Azure AD会把用户所属组的Object ID放在这个声明里），判断是否属于允许的4个组之一；如果不属于，就直接触发认证失败，后续流程会返回无权限提示。

具体实现步骤 #

1. 准备允许的组ID

首先你需要去Azure AD门户找到那4个目标组，复制它们的Object ID（这个是唯一标识，不能用组名，因为组名可能会变），把这些ID存到一个集合里备用。

2. 配置JWT Bearer认证事件

在Start.cs的ConfigureServices方法中，配置JWT Bearer认证时，挂钩TokenValidated和OnAuthenticationFailed事件，实现组检查和错误处理：

using System;
using System.Collections.Generic;
using System.Linq;
using System.Threading.Tasks;
using Microsoft.AspNetCore.Authentication.JwtBearer;
using Microsoft.AspNetCore.Builder;
using Microsoft.AspNetCore.Hosting;
using Microsoft.AspNetCore.Http;
using Microsoft.Extensions.DependencyInjection;
using Newtonsoft.Json;

public class Startup
{
    public void ConfigureServices(IServiceCollection services)
    {
        services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
            .AddJwtBearer(options =>
            {
                // 替换成你的Azure AD租户ID和API客户端ID
                options.Authority = "https://login.microsoftonline.com/your-tenant-id-here";
                options.Audience = "your-api-client-id-here";

                options.Events = new JwtBearerEvents
                {
                    // 令牌验证成功后触发，在这里检查用户组
                    OnTokenValidated = context =>
                    {
                        // 替换成你允许的4个组的Object ID
                        var allowedGroupIds = new HashSet<string>
                        {
                            "group-object-id-1",
                            "group-object-id-2",
                            "group-object-id-3",
                            "group-object-id-4"
                        };

                        // 从当前用户的声明中提取所属组的ID
                        var userGroups = context.Principal.Claims
                            .Where(claim => claim.Type == "groups")
                            .Select(claim => claim.Value);

                        // 检查用户是否属于任何一个允许的组
                        var isAuthorized = userGroups.Any(groupId => allowedGroupIds.Contains(groupId));

                        if (!isAuthorized)
                        {
                            // 如果不在允许的组里，标记认证失败
                            context.Fail("您不属于授权访问的组，无法使用此应用");
                        }

                        return Task.CompletedTask;
                    },

                    // 认证失败时触发，自定义返回的错误信息和状态码
                    OnAuthenticationFailed = context =>
                    {
                        // 区分是组验证失败还是其他认证错误
                        if (context.Exception != null && context.Exception.Message.Contains("不属于授权访问的组"))
                        {
                            // 组验证失败，返回403 Forbidden
                            context.Response.StatusCode = StatusCodes.Status403Forbidden;
                            context.Response.ContentType = "application/json";
                            return context.Response.WriteAsync(JsonConvert.SerializeObject(new
                            {
                                Message = "权限不足",
                                Detail = "您不属于授权访问的组，请联系管理员申请权限"
                            }));
                        }

                        // 其他认证错误（比如令牌无效、过期），返回401 Unauthorized
                        context.Response.StatusCode = StatusCodes.Status401Unauthorized;
                        context.Response.ContentType = "application/json";
                        return context.Response.WriteAsync(JsonConvert.SerializeObject(new
                        {
                            Message = "认证失败",
                            Detail = context.Exception?.Message ?? "无效的访问令牌"
                        }));
                    }
                };
            });

        services.AddMvc();
    }

    public void Configure(IApplicationBuilder app, IHostingEnvironment env)
    {
        if (env.IsDevelopment())
        {
            app.UseDeveloperExceptionPage();
        }

        // 必须先启用认证，再启用授权
        app.UseAuthentication();
        app.UseMvc();
    }
}

关键细节说明 #

• 为什么用TokenValidated？：这个事件的触发时机刚好是令牌验证通过后、应用的授权逻辑（比如[Authorize]特性）执行前，完全符合你“在应用内部授权逻辑执行前完成验证”的要求。
• 关于groups声明：Azure AD默认会在JWT令牌中包含用户所属的所有组ID，但如果用户所属组数量过多（超过150个），令牌会返回一个_claim_names声明，提示需要调用Graph API获取完整组列表。如果你的用户不会遇到这种情况，上面的代码就足够；如果需要处理大量组的场景，你可以在TokenValidated事件中调用Microsoft Graph API查询用户的组，再进行验证。
• 错误状态码区分：通过OnAuthenticationFailed事件，我们把“组验证失败”和“令牌无效/过期”区分开，前者返回403（无权限），后者返回401（未认证），这样前端可以根据状态码给出更准确的提示。

内容的提问来源于stack exchange，提问作者gjo