如何将现有WebForms应用从Windows认证切换为Azure AD认证？

嘿，我太懂这种找不到WebForms专属指南的头疼了——毕竟大部分文档都盯着MVC或者ASP.NET Core，不过切换到Azure AD认证肯定需要修改web.config，而且还有几个关键步骤得一步步落实，我给你拆解清楚：

WebForms严重依赖web.config来配置认证模式、权限规则以及相关模块，所以这一步是绕不开的。下面是具体的修改和配套操作：

1. 调整基础认证配置 #

首先要关闭Windows Authentication，启用Forms Authentication（作为Azure AD OAuth流程的过渡载体），同时配置权限规则：
在web.config的<system.web>节点下添加/修改：

<authentication mode="Forms">
  <forms loginUrl="~/Account/Login.aspx" timeout="2880" />
</authentication>
<authorization>
  <deny users="?" /> <!-- 拒绝所有未认证用户访问 -->
</authorization>

还要在<system.webServer>节点下确保Windows Auth关闭、匿名访问开启（让用户能先进入登录页跳转Azure AD）：

<system.webServer>
  <security>
    <authentication>
      <windowsAuthentication enabled="false" />
      <anonymousAuthentication enabled="true" />
    </authentication>
  </security>
</system.webServer>

2. 集成OWIN中间件（关键！） #

WebForms本身没有原生支持Azure AD的OAuth，所以需要借助OWIN中间件来实现。

• 先安装三个NuGet包：Microsoft.Owin.Security.OpenIdConnect、Microsoft.Owin.Security.Cookies、Microsoft.Owin.Host.SystemWeb
• 在项目根目录添加Startup.cs文件（如果没有的话），代码如下：

using Microsoft.Owin;
using Owin;
using Microsoft.Owin.Security.Cookies;
using Microsoft.Owin.Security.OpenIdConnect;
using System.Configuration;
using Microsoft.IdentityModel.Tokens;

[assembly: OwinStartup(typeof(YourAppNamespace.Startup))]
namespace YourAppNamespace
{
    public class Startup
    {
        public void Configuration(IAppBuilder app)
        {
            // 设置Cookie作为默认的认证载体
            app.SetDefaultSignInAsAuthenticationType(CookieAuthenticationDefaults.AuthenticationType);
            app.UseCookieAuthentication(new CookieAuthenticationOptions());

            // 配置Azure AD的OpenID Connect认证
            app.UseOpenIdConnectAuthentication(
                new OpenIdConnectAuthenticationOptions
                {
                    ClientId = ConfigurationManager.AppSettings["AzureADClientId"],
                    Authority = $"https://login.microsoftonline.com/{ConfigurationManager.AppSettings["AzureADTenantId"]}/v2.0",
                    RedirectUri = ConfigurationManager.AppSettings["AzureADRedirectUri"],
                    PostLogoutRedirectUri = ConfigurationManager.AppSettings["AzureADPostLogoutRedirectUri"],
                    ResponseType = "id_token",
                    Scope = "openid profile",
                    TokenValidationParameters = new TokenValidationParameters
                    {
                        ValidateIssuer = true,
                    },
                    Notifications = new OpenIdConnectAuthenticationNotifications
                    {
                        AuthenticationFailed = context =>
                        {
                            context.HandleResponse();
                            context.Response.Redirect("/Error.aspx?message=" + context.Exception.Message);
                            return System.Threading.Tasks.Task.FromResult(0);
                        }
                    }
                });
        }
    }
}

• 回到web.config，在<appSettings>节点添加Azure AD的配置项：

<add key="AzureADClientId" value="你的AppID" />
<add key="AzureADTenantId" value="你的TenantID" />
<add key="AzureADRedirectUri" value="你的回调URL" /> <!-- 要和Azure AD应用注册里的完全一致，比如https://yourdomain.com/Account/Login.aspx -->
<add key="AzureADPostLogoutRedirectUri" value="注销后跳转的URL" /> <!-- 比如https://yourdomain.com/Default.aspx -->

3. 配置登录和注销页面 #

• 登录页（Login.aspx）：不需要手动做登录表单，直接触发Azure AD的登录流程即可，后台代码：

protected void Page_Load(object sender, EventArgs e)
{
    if (!Request.IsAuthenticated)
    {
        // 跳转到Azure AD登录
        HttpContext.Current.GetOwinContext().Authentication.Challenge(
            new Microsoft.Owin.Security.AuthenticationProperties { RedirectUri = "/" },
            OpenIdConnectAuthenticationDefaults.AuthenticationType);
    }
    else
    {
        // 已认证则跳转到主页
        Response.Redirect("~/Default.aspx");
    }
}

• 注销功能：在需要注销的页面添加按钮，后台代码：

protected void btnLogout_Click(object sender, EventArgs e)
{
    // 同时清除Cookie和Azure AD的会话
    HttpContext.Current.GetOwinContext().Authentication.SignOut(
        CookieAuthenticationDefaults.AuthenticationType,
        OpenIdConnectAuthenticationDefaults.AuthenticationType);
}

4. 获取用户身份信息 #

在任意页面，你可以通过ClaimsPrincipal获取当前用户的Azure AD信息：

var claimsUser = User as System.Security.Claims.ClaimsPrincipal;
var userName = claimsUser.FindFirst(System.Security.Claims.ClaimTypes.Name)?.Value;
var userEmail = claimsUser.FindFirst(System.Security.Claims.ClaimTypes.Email)?.Value;

• 确保Azure AD应用注册里的重定向URI和你配置的AzureADRedirectUri完全一致，包括协议（http/https）、域名、端口和路径，差一点都会导致认证失败
• 如果你的应用是内部部署（on-prem），可能需要结合AD FS或Azure AD Connect，但如果是云托管或公网可访问，上面的步骤完全适用
• 本地测试时，记得在Azure AD应用注册里添加https://localhost:你的端口号/Account/Login.aspx作为重定向URI

内容的提问来源于stack exchange，提问作者Nathan