如何用Azure AD B2C与.NET Core 2.0实现用户组API权限管控

你遇到的核心问题是误用了用户可编辑的自定义属性来做权限标识——这类属性用户确实能通过Profile Edit流自行修改，完全没法保证权限安全。正确的方案是使用Azure AD B2C的安全组：这类组由管理员专属管理，用户无法自行修改成员身份或组信息，能从根源解决权限篡改的问题。下面是分步实现方案：

1. 在Azure AD B2C中创建并配置安全组 #

• 登录Azure门户，进入你的AD B2C租户，找到Groups（组）选项
• 创建两个安全组：比如API_Users（普通用户组）和API_Administrators（管理员组）
• 将对应用户添加到组中：把需要拥有管理员权限的用户加入API_Administrators，普通用户加入API_Users
• 关键提示：安全组的成员管理仅对租户管理员开放，普通用户无权修改，这是权限安全的核心保障

2. 配置B2C策略以在令牌中包含组声明 #

要让API识别用户所属的组，需要配置B2C的用户流或自定义策略，让访问令牌/ID令牌中携带组信息。这里以自定义策略为例（用户流也可通过门户可视化配置，自定义策略灵活性更强）：

• 在自定义策略中添加Claims Provider，调用Microsoft Graph API获取用户所属的安全组
• 配置输出声明，将组的ID或名称作为声明（比如groupMembership）包含在令牌中
• 安全保障：令牌由B2C签名，API验证签名后就能确认声明的真实性，用户无法自行篡改令牌内容

3. 在.NET Core 2.0 API中配置认证与授权 #

3.1 配置Azure AD B2C认证中间件 #

在Startup.cs的ConfigureServices方法中添加认证配置：

public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
        .AddJwtBearer(options =>
        {
            options.Authority = "https://your-b2c-tenant.b2clogin.com/your-b2c-tenant.onmicrosoft.com/your-signup-signin-policy/v2.0/";
            options.Audience = "your-api-client-id";
            options.TokenValidationParameters = new TokenValidationParameters
            {
                ValidateIssuer = true,
                ValidateAudience = true,
                ValidateLifetime = true,
                ValidateIssuerSigningKey = true
            };
        });
}

然后在Configure方法中启用认证：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    // 其他中间件（如异常处理、静态文件）...
    app.UseAuthentication();
    app.UseMvc();
}

3.2 配置授权策略 #

你可以直接基于组声明配置授权策略，比如：

services.AddAuthorization(options =>
{
    options.AddPolicy("AdministratorOnly", policy =>
        policy.RequireClaim("groupMembership", "API_Administrators"));
});

3.3 在API控制器中应用授权 #

在需要管理员权限的接口上添加授权特性，普通接口只需基础授权：

[ApiController]
[Route("api/[controller]")]
public class AdminController : ControllerBase
{
    // 仅管理员可访问的删除账户接口
    [HttpDelete("users/{id}")]
    [Authorize(Policy = "AdministratorOnly")]
    public IActionResult DeleteUser(string id)
    {
        // 实现删除逻辑
        return Ok();
    }

    // 所有登录用户可访问的个人信息接口
    [HttpGet("profile")]
    [Authorize]
    public IActionResult GetUserProfile()
    {
        // 实现获取用户信息逻辑
        return Ok(User.Claims);
    }
}

关键注意事项 #

• 绝对不要用用户自定义属性做权限标识：这类属性设计目的是存储用户可编辑的个人信息，完全不适合做权限控制
• 不要关闭令牌签名验证：API必须验证B2C令牌的签名，这是默认配置的一部分，确保令牌未被篡改
• 优先用组ID而非组名：组名可能会变更，而组ID是永久的，用组ID做声明值更稳定
• 定期审查组成员：管理员要定期检查安全组的成员，确保没有未授权用户被添加进来

内容的提问来源于stack exchange，提问作者user365462