OWIN自托管服务：如何限制仅Windows组成员访问映射路径

既然你已经配置好了Windows身份验证，接下来只需要在/someapp的路由分支里添加一个自定义中间件，用来检查当前登录用户是否属于指定的Windows组即可。下面是具体的实现步骤和代码示例：

核心思路 #

因为已经启用了IntegratedWindowsAuthentication，请求的HttpContext.User.Identity会是WindowsIdentity类型，我们可以利用这个身份对象验证用户的组成员资格。如果用户不在目标组内，直接返回403 Forbidden；验证通过则继续执行后续应用逻辑。

具体代码实现 #

修改你的ConfigureSomeApp方法，在原有应用配置前添加组检查的中间件：

private void ConfigureSomeApp(IAppBuilder app) {
    app.Map("/someapp", someApp => {
        // 添加Windows组验证中间件
        someApp.Use(async (context, next) => {
            // 获取当前用户的Windows身份
            var windowsIdentity = context.User.Identity as WindowsIdentity;
            if (windowsIdentity == null) {
                // 由于已启用Windows身份验证，此分支理论上不会触发
                context.Response.StatusCode = 401;
                await context.Response.WriteAsync("Unauthorized: Windows authentication required.");
                return;
            }

            // 替换为你的目标Windows组信息
            // 方式1：使用域名\组名（适合AD组或本地组）
            const string AllowedGroup = "YOUR_DOMAIN\\YourRestrictedGroup";
            // 方式2：使用组SID（更可靠，避免组名变更影响）
            // var allowedGroupSid = new SecurityIdentifier("S-1-5-21-XXXXXX-XXXXXX-XXXXXX-XXXX");

            // 验证用户是否属于目标组
            // 方式1：使用IsInRole
            if (!context.User.IsInRole(AllowedGroup)) {
                context.Response.StatusCode = 403;
                await context.Response.WriteAsync("Access Denied: You are not a member of the required Windows group.");
                return;
            }

            // 方式2：验证SID（如果用SID的话，替换上面的IsInRole检查）
            // if (!windowsIdentity.Groups.Any(groupSid => groupSid.Value == allowedGroupSid.Value)) {
            //     context.Response.StatusCode = 403;
            //     await context.Response.WriteAsync("Access Denied: You are not a member of the required Windows group.");
            //     return;
            // }

            // 验证通过，继续执行后续应用逻辑
            await next();
        });

        // 此处保留你原有的应用配置代码
        // 示例：如果是Web API的话
        // someApp.UseWebApi(config);
    });
}

关键注意事项 #

• 组信息的选择：推荐使用组的SID而非组名，因为组名可能会被修改，但SID是永久不变的。你可以通过命令行wmic group where name='YourGroupName' get sid来获取目标组的SID。
• 服务权限：确保你的Windows服务运行的账号具有读取Active Directory（或本地用户组）信息的权限，否则可能无法正确验证用户的组成员资格。
• 本地组的格式：如果是本地机器上的组，组名格式应为.\GroupName或者你的计算机名\GroupName。
• 测试验证：分别用属于目标组和不属于目标组的用户访问/someapp路径，确认权限控制生效。

内容的提问来源于stack exchange，提问作者Mathieu