如何使ASP.NET MVC Authorize属性支持嵌套AD组用户？

我来帮你搞定这个嵌套AD组的授权难题——默认的Authorize属性确实不会自动递归检查Active Directory里的嵌套组权限，得咱们自己动手扩展一下才行。

一、如何让Authorize属性支持嵌套AD组？ #

核心思路是自定义一个继承自AuthorizeAttribute的授权过滤器，在里面实现递归验证用户是否属于目标AD组（包括嵌套组）的逻辑。具体步骤如下：

1. 添加必要的程序集引用
   首先要引入System.DirectoryServices.AccountManagement这个程序集，它提供了操作AD用户和组的便捷API。

2. 编写自定义嵌套组授权属性
   创建一个类，比如NestedADGroupAuthorizeAttribute，重写AuthorizeCore方法来实现递归检查：

using System;
using System.Web.Mvc;
using System.DirectoryServices.AccountManagement;

public class NestedADGroupAuthorizeAttribute : AuthorizeAttribute
{
    // 允许传入需要验证的AD组名称，支持多个组用逗号分隔
    public new string Roles { get; set; }

    protected override bool AuthorizeCore(System.Web.HttpContextBase httpContext)
    {
        if (httpContext == null)
            throw new ArgumentNullException(nameof(httpContext));

        // 获取当前Windows身份（AD用户）
        var windowsIdentity = httpContext.User.Identity as System.Security.Principal.WindowsIdentity;
        if (windowsIdentity == null)
            return false;

        // 解析需要验证的组列表
        var requiredGroups = Roles.Split(new[] { ',' }, StringSplitOptions.RemoveEmptyEntries);
        if (requiredGroups.Length == 0)
            return true;

        // 遍历每个组，检查用户是否在组或嵌套组中
        using (var context = new PrincipalContext(ContextType.Domain, "AD.COM")) // 替换为你的AD域名
        {
            using (var userPrincipal = UserPrincipal.FindByIdentity(context, windowsIdentity.Name))
            {
                if (userPrincipal == null)
                    return false;

                foreach (var groupName in requiredGroups)
                {
                    if (IsUserInNestedGroup(userPrincipal, groupName.Trim(), context))
                        return true;
                }
            }
        }

        return false;
    }

    // 递归检查用户是否在目标组或其嵌套组中
    private bool IsUserInNestedGroup(UserPrincipal user, string groupName, PrincipalContext context)
    {
        using (var group = GroupPrincipal.FindByIdentity(context, groupName))
        {
            if (group == null)
                return false;

            // 检查用户是否直接属于该组
            if (user.IsMemberOf(group))
                return true;

            // 递归检查该组的所有嵌套组
            foreach (var nestedGroup in group.GetGroups())
            {
                if (IsUserInNestedGroup(user, nestedGroup.Name, context))
                    return true;
            }
        }

        return false;
    }
}

3. 使用自定义属性
   你可以在Controller或者Action上直接替换原来的[Authorize]为[NestedADGroupAuthorize]，并指定需要验证的组：

   [NestedADGroupAuthorize(Roles = "ITApps")]
   public class HomeController : Controller
   {
       // ...
   }
   

二、已配置FilterConfig但仍不生效的解决办法 #

如果你已经在FilterConfig.cs里配置了全局授权，但嵌套组还是不生效，大概率是以下几个原因，对应解决方式如下：

• 原因1：仍在使用默认的AuthorizeAttribute
  检查你的FilterConfig，确保注册的是咱们自定义的NestedADGroupAuthorizeAttribute，而不是默认的：

  public class FilterConfig
  {
      public static void RegisterGlobalFilters(GlobalFilterCollection filters)
      {
          // 替换默认的Authorize为自定义的嵌套组授权过滤器
          filters.Add(new NestedADGroupAuthorizeAttribute { Roles = "ITApps" });
          filters.Add(new HandleErrorAttribute());
      }
  }
  

• 原因2：自定义过滤器的递归逻辑有问题
  检查IsUserInNestedGroup方法是否正确实现了递归：

  • 确认AD域名（PrincipalContext的第二个参数）是否正确填写为你的域名（比如AD.COM）
  • 确保组名称拼写完全一致（AD组名称区分大小写吗？取决于你的AD配置，建议统一大小写）

• 原因3：应用池账户没有读取AD嵌套组的权限
  你的ASP.NET应用池运行的账户需要有读取Active Directory组信息的权限。如果应用池用的是ApplicationPoolIdentity，可能权限不足，建议改为域账户（比如AD.COM\AppPoolAccount），并确保该账户能访问AD的组信息。

• 原因4：用户身份验证方式不对
  确认你的Web.config已经启用了Windows身份验证，禁用了Forms身份验证：

  <system.web>
      <authentication mode="Windows" />
      <authorization>
          <deny users="?" />
      </authorization>
  </system.web>
  

内容的提问来源于stack exchange，提问作者null