如何在WebAPI层验证调用者是否属于AD安全组？

嘿，针对你这个在WebAPI层检查调用者是否属于AD安全组的需求，我给你梳理几个实用的步骤，结合你的Adal.js+Azure AD场景来聊～

默认情况下，Azure AD返回的JWT令牌可能不会包含用户的安全组声明，得先在Azure AD配置里做调整：

• 登录Azure门户，找到你的WebAPI对应的应用注册
• 进入「令牌配置」，点击「添加组声明」
• 选择「安全组」，然后可以选返回组的Object ID（推荐，更稳定）或者显示名称，保存配置

这样后续前端通过Adal.js获取的Token，再传给WebAPI时，Token里就会包含groups声明（如果选的是Object ID），里面是用户所属安全组的ID列表。

假设你用的是ASP.NET Core WebAPI，先确保已经正确配置了JWT Bearer认证，然后就能直接在Controller里获取用户的组信息：

首先是认证配置（以.NET 6+的Program.cs为例）：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.Authority = "https://login.microsoftonline.com/tenant.com/v2.0";
        options.Audience = "YOUR_WEBAPI_CLIENT_ID"; // 替换成你的WebAPI应用ID
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            // 确保组声明能被正确解析
            NameClaimType = ClaimTypes.Name,
            RoleClaimType = ClaimTypes.Role
        };
    });

// 别忘了启用认证和授权
app.UseAuthentication();
app.UseAuthorization();

然后在具体的Action里检查组：

[Authorize]
[HttpGet("validate-group")]
public IActionResult ValidateUserInSecurityGroup()
{
    // 从用户Claims里提取所有组ID
    var userGroupIds = User.Claims
        .Where(claim => claim.Type == "groups")
        .Select(claim => claim.Value)
        .ToList();

    // 替换成你要检查的目标安全组Object ID
    const string targetGroupId = "YOUR_TARGET_GROUP_OBJECT_ID";

    if (userGroupIds.Contains(targetGroupId))
    {
        return Ok("当前用户属于目标安全组");
    }
    else
    {
        return Forbid("当前用户不属于目标安全组");
    }
}

如果用户所属的安全组数量超过150个，Azure AD不会把所有组都塞进Token里，这时候就得调用Microsoft Graph API来查询：

1. 给WebAPI配置Graph权限：

   • 回到WebAPI的应用注册，进入「API权限」，点击「添加权限」→「Microsoft Graph」→「应用权限」
   • 搜索并添加GroupMember.Read.All权限，然后点击「授予管理员同意」

2. 在WebAPI里获取Graph访问令牌（用MSAL.NET库）：

using Microsoft.Identity.Client;

// 在需要调用Graph的地方获取令牌
var confidentialClient = ConfidentialClientApplicationBuilder
    .Create("YOUR_WEBAPI_CLIENT_ID")
    .WithClientSecret("YOUR_WEBAPI_CLIENT_SECRET") // 或者用证书，更安全
    .WithAuthority(new Uri("https://login.microsoftonline.com/tenant.com/v2.0"))
    .Build();

var graphScopes = new[] { "https://graph.microsoft.com/.default" };
var tokenResult = await confidentialClient.AcquireTokenForClient(graphScopes).ExecuteAsync();
string graphAccessToken = tokenResult.AccessToken;

3. 调用Graph API检查用户组归属：

using System.Net.Http.Headers;
using System.Text.Json;

var httpClient = new HttpClient();
httpClient.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", graphAccessToken);

// 获取当前用户的ID（从Token的Claims里拿）
var userId = User.FindFirst(ClaimTypes.NameIdentifier)?.Value;
if (string.IsNullOrEmpty(userId))
{
    return BadRequest("无法获取用户ID");
}

// 调用Graph API查询用户所属组
var response = await httpClient.GetAsync($"https://graph.microsoft.com/v1.0/users/{userId}/memberOf");
response.EnsureSuccessStatusCode();

var groupResponse = await response.Content.ReadFromJsonAsync<JsonElement>();
var groups = groupResponse.GetProperty("value").EnumerateArray();

// 检查是否包含目标组
bool isInTargetGroup = groups.Any(group => group.GetProperty("id").GetString() == targetGroupId);

return isInTargetGroup ? Ok("用户属于目标安全组") : Forbid("用户不属于目标安全组");

• 优先用组的Object ID而不是名称，因为名称可能会被修改，ID是永久不变的
• 如果用Graph API，记得处理分页（当用户组很多时，Graph会返回分页结果）
• 生产环境里不要硬编码客户端密钥，建议用Azure Key Vault来存储

内容的提问来源于stack exchange，提问作者Sat Thiru