基于Active Directory实现ASP.NET Core SPA与Angular的授权方案问询

我明白你找了一两周只确认方案可行却拿不到具体实现代码的焦虑——这事儿确实绕人，我来给你一步步拆解ASP.NET Core SPA集成Active Directory授权的完整实现，所有代码都能直接复用：

一、后端核心配置（.NET 6+ 版本） #

首先得给项目添加依赖包Microsoft.AspNetCore.Authentication.Negotiate，然后在Program.cs里完成认证授权的核心配置：

var builder = WebApplication.CreateBuilder(args);

// 注册AD认证服务（基于Negotiate协议，适配Windows AD）
builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
    .AddNegotiate();

// 配置全局授权策略：强制所有请求都需要AD认证
builder.Services.AddAuthorization(options =>
{
    options.FallbackPolicy = new AuthorizationPolicyBuilder()
        .AddAuthenticationSchemes(NegotiateDefaults.AuthenticationScheme)
        .RequireAuthenticatedUser()
        .Build();
});

// 配置SPA静态文件支持（根据你的SPA框架调整RootPath）
builder.Services.AddSpaStaticFiles(configuration =>
{
    configuration.RootPath = "ClientApp/build"; // 示例为React的build目录
});

var app = builder.Build();

// 启用认证、授权中间件（顺序不能错）
app.UseAuthentication();
app.UseAuthorization();

app.UseStaticFiles();
app.UseSpaStaticFiles();

// 所有API接口强制授权
app.MapControllers().RequireAuthorization();

// 配置SPA服务
app.UseSpa(spa =>
{
    spa.Options.SourcePath = "ClientApp";
    // 开发环境启用SPA热重载（比如React的npm start）
    if (app.Environment.IsDevelopment())
    {
        spa.UseReactDevelopmentServer(npmScript: "start");
        // Vue/Angular可替换为对应的启动命令，比如spa.UseVueCliServer(npmScript: "serve");
    }
});

app.Run();

二、获取AD用户完整信息（API控制器示例） #

你已经能拿到用户名和域名，这里给你完整的用户属性提取代码，直接在API里返回给SPA：

using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;
using System.Security.Claims;

[Authorize]
[ApiController]
[Route("api/user")]
public class UserController : ControllerBase
{
    [HttpGet("profile")]
    public IActionResult GetAdUserProfile()
    {
        var adUser = User as ClaimsPrincipal;
        
        // 提取AD用户核心属性
        var fullUserName = adUser.Identity.Name; // 格式：DOMAIN\Username
        var userId = adUser.FindFirst(ClaimTypes.NameIdentifier)?.Value;
        var email = adUser.FindFirst(ClaimTypes.Email)?.Value;
        var displayName = $"{adUser.FindFirst(ClaimTypes.GivenName)?.Value} {adUser.FindFirst(ClaimTypes.Surname)?.Value}".Trim();

        return Ok(new
        {
            FullUserName = fullUserName,
            UserId = userId,
            Email = email,
            DisplayName = displayName
        });
    }
}

三、SPA端适配（以React为例） #

内网环境下SPA不需要自己做登录表单，后端会自动触发AD认证流程，前端只需要调用API获取用户信息即可：

import { useEffect, useState } from 'react';

function App() {
  const [userProfile, setUserProfile] = useState(null);

  useEffect(() => {
    // 页面加载时获取AD用户信息
    fetch('/api/user/profile')
      .then(res => {
        if (!res.ok) throw new Error('未通过AD认证');
        return res.json();
      })
      .then(data => setUserProfile(data))
      .catch(err => console.error(err));
  }, []);

  return (
    <div className="app-container">
      {userProfile ? (
        <div className="welcome-section">
          <h1>欢迎，{userProfile.DisplayName}！</h1>
          <p>域账户：{userProfile.FullUserName}</p>
          <p>邮箱：{userProfile.Email}</p>
        </div>
      ) : (
        <p>正在验证身份...</p>
      )}
    </div>
  );
}

export default App;

四、内网部署关键注意事项 #

• IIS配置：部署到IIS时，需启用「Windows身份验证」，关闭「匿名身份验证」；
• 开发环境调试：Visual Studio中右键项目→属性→调试，勾选「Windows身份验证」，取消「匿名身份验证」；
• 域环境要求：服务器和客户端必须在同一AD域内，或客户端所在域信任目标AD域。

五、扩展：基于AD组的权限控制 #

如果需要限制特定AD组用户访问接口，可添加自定义授权策略：

// Program.cs中添加授权策略
builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("DomainAdmins", policy =>
        policy.RequireRole("YOUR_DOMAIN\\Domain Admins")); // 替换为你的AD组名
});

然后在控制器/Action上标注：

[Authorize(Policy = "DomainAdmins")]
[HttpGet("admin-only-data")]
public IActionResult GetAdminData()
{
    return Ok("仅域管理员可访问的数据");
}

内容的提问来源于stack exchange，提问作者Valentin Karpov