Identity 2 + MVC5项目中配置web.config模拟用户及自定义UserManager问题

嘿，针对你在Identity 2 + MVC 5项目里遇到的模拟用户配置与WindowsIdentity修改冲突的问题，我整理了几个实用的解决方案，都是基于这类场景的常见实践：

1. 明确区分两种身份上下文 #

首先你得搞清楚：web.config里的<identity impersonate="true">是ASP.NET传统管道的服务器端身份模拟，而OWIN的Identity认证是基于Claims的，两者在线程上下文里很容易重叠冲突。

你需要在UserManagerExtensions里明确区分操作的身份对象：

• 要获取模拟的Windows身份，用HttpContext.Current.User.Identity（转成WindowsIdentity类型）
• 要操作OWIN的认证身份，用HttpContext.GetOwinContext().Authentication.User

示例代码：

// 获取web.config配置的模拟Windows身份
var simulatedWindowsIdentity = HttpContext.Current.User.Identity as WindowsIdentity;
// 获取OWIN的Claims认证身份
var owinClaimsIdentity = HttpContext.GetOwinContext().Authentication.User.Identity as ClaimsIdentity;

2. 调整OWIN中间件的执行顺序 #

在Startup的ConfigureAuth方法里，要确保OWIN中间件能正确适配传统管道的模拟身份，避免身份覆盖。可以在Cookie认证前加一段适配逻辑：

public void ConfigureAuth(IAppBuilder app)
{
    // 先初始化Owin上下文的核心实例
    app.CreatePerOwinContext(MyIdentityContext.Create);
    app.CreatePerOwinContext<MyUserManager>(MyUserManager.Create);
    app.CreatePerOwinContext<MySignInManager>(MySignInManager.Create);

    // 把ASP.NET模拟的Windows身份适配到OWIN上下文
    app.Use(async (context, next) =>
    {
        if (HttpContext.Current != null && HttpContext.Current.User is WindowsPrincipal wp)
        {
            // 将Windows身份转成Claims身份，注入到OWIN的认证上下文
            var claimsIdentity = new ClaimsIdentity(wp.Identity);
            context.Authentication.User = new ClaimsPrincipal(claimsIdentity);
        }
        await next.Invoke();
    });

    // 再配置Cookie认证
    app.UseCookieAuthentication(new CookieAuthenticationOptions
    {
        AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
        LoginPath = new PathString("/Account/Login"),
        // 你的其他配置项...
    });
}

3. 避免直接修改WindowsIdentity，改用Claims身份操作 #

Identity 2的核心是基于Claims的认证，和Windows身份模拟的设计目标不同。如果你的UserManagerExtensions是想通过修改WindowsIdentity实现某些功能，建议换个思路：

• 不要直接修改WindowsIdentity对象，而是用UserManager的AddClaimAsync、RemoveClaimAsync等方法操作用户的Claims
• 如果需要用到Windows身份的属性（比如用户名、SID），可以从模拟的WindowsIdentity里提取出来，添加到Claims身份中，而非修改原始的WindowsIdentity

4. 验证模拟配置的有效性 #

先确认web.config的模拟配置是正常生效的，没有权限问题：

<system.web>

</system.web>

• 检查配置的账号是否有足够权限访问应用依赖的资源（数据库、文件目录等）
• 可以加个日志验证当前线程的身份：

// 输出当前模拟的Windows用户名到调试日志
System.Diagnostics.Debug.WriteLine($"当前模拟用户：{System.Security.Principal.WindowsIdentity.GetCurrent().Name}");

5. 处理多线程下的身份切换安全 #

如果UserManagerExtensions里有跨线程操作WindowsIdentity的逻辑，一定要注意线程安全：

• WindowsIdentity是和线程绑定的，直接修改会影响当前线程的所有操作
• 如果需要临时切换身份，用WindowsIdentity.RunImpersonated方法（.NET 4.6及以上支持），确保操作完成后自动恢复原身份：

using (var targetIdentity = new System.Security.Principal.WindowsIdentity("domain\\impersonated"))
{
    System.Security.Principal.WindowsIdentity.RunImpersonated(targetIdentity.AccessToken, () =>
    {
        // 在这里执行需要模拟身份的操作
    });
}

最后，记得每改一步都要测试，确保OWIN认证和服务器端模拟身份能协同工作，不会出现身份覆盖或者权限异常的情况。

内容的提问来源于stack exchange，提问作者Peter Kavecansky