如何配置Azure B2C限制用户仅访问对应ASP.NET Core 2.0站点？

嘿，我来帮你搞定这个用户访问限制的问题！你提到的权限+请求来源过滤思路是可行的，但其实Azure B2C本身就有原生的访问控制能力，结合ASP.NET Core的授权系统会更安全可靠，下面给你详细拆解几个方案：

方案一：用Azure B2C应用角色（App Roles）实现原生访问控制 #

这是最贴合B2C设计的方案，直接通过角色分配来限制用户能访问的应用：

• 步骤1：给两个应用分别定义专属角色
  登录Azure门户，找到你的B2C租户下的两个应用：

  • 桌面应用：添加DesktopAccess角色，描述为"允许访问桌面站点"
  • 移动应用：添加MobileAccess角色，描述为"允许访问移动站点"

• 步骤2：给用户/用户组分配对应角色
  在B2C的用户管理里，给移动用户仅分配MobileAccess角色，桌面用户仅分配DesktopAccess角色；如果用户量大，用用户组批量分配更高效。

• 步骤3：在ASP.NET Core应用中验证角色声明
  在Startup.cs的认证配置中，确保B2C返回角色声明：

  services.AddAuthentication(AzureADB2CDefaults.AuthenticationScheme)
      .AddAzureADB2C(options => Configuration.Bind("AzureAdB2C", options));
  
  // 添加授权策略
  services.AddAuthorization(options =>
  {
      options.AddPolicy("DesktopOnly", policy => policy.RequireRole("DesktopAccess"));
      options.AddPolicy("MobileOnly", policy => policy.RequireRole("MobileAccess"));
  });
  

  然后在控制器或页面上添加授权特性：

  // 桌面站点的控制器
  [Authorize(Policy = "DesktopOnly")]
  public class DesktopHomeController : Controller
  {
      // ...
  }
  
  // 移动站点的控制器
  [Authorize(Policy = "MobileOnly")]
  public class MobileHomeController : Controller
  {
      // ...
  }
  

方案二：基于用户自定义属性+自定义声明的细粒度控制 #

如果需要更灵活的用户分类（比如部分用户可能需要临时跨端访问），可以用自定义用户属性结合声明来控制：

• 步骤1：添加自定义用户属性
  在B2C租户的"用户属性"里，新建一个UserType属性，设置可选值为Mobile和Desktop。

• 步骤2：配置用户流/自定义策略返回该声明
  在你使用的用户流（比如注册/登录流）中，把UserType添加为"应用声明"，这样用户登录后，ID Token里会包含这个属性值。

• 步骤3：在ASP.NET Core中验证自定义声明
  同样在Startup.cs里配置授权策略：

  services.AddAuthorization(options =>
  {
      options.AddPolicy("DesktopOnly", policy =>
          policy.RequireClaim("extension_UserType", "Desktop"));
      options.AddPolicy("MobileOnly", policy =>
          policy.RequireClaim("extension_UserType", "Mobile"));
  });
  

  然后和方案一一样，给控制器添加对应的[Authorize(Policy = "...")]特性。

补充：结合请求来源做额外防护 #

你提到的请求来源过滤可以作为第二层防护，防止用户通过异常方式访问（虽然令牌本身是签名不可篡改的，但能进一步加固安全），比如在中间件里检查User-Agent：

public class UserAgentValidationMiddleware
{
    private readonly RequestDelegate _next;

    public UserAgentValidationMiddleware(RequestDelegate next)
    {
        _next = next;
    }

    public async Task Invoke(HttpContext context)
    {
        var userAgent = context.Request.Headers["User-Agent"].ToString();
        var userTypeClaim = context.User.Claims.FirstOrDefault(c => c.Type == "extension_UserType");

        if (userTypeClaim?.Value == "Mobile" && !userAgent.Contains("Mobile"))
        {
            // 拒绝访问，返回403
            context.Response.StatusCode = StatusCodes.Status403Forbidden;
            await context.Response.WriteAsync("仅允许移动设备访问此站点");
            return;
        }

        await _next(context);
    }
}

// 在Startup.cs中注册中间件
app.UseMiddleware<UserAgentValidationMiddleware>();

注意事项 #

• 优先依赖Azure B2C返回的令牌声明做验证，因为令牌是经过签名的，无法篡改，比单纯的请求来源更安全
• 如果使用自定义策略代替用户流，声明的配置会更灵活，适合复杂的业务场景
• 测试时要确保角色/属性分配正确，并且应用能正确接收到对应的声明

内容的提问来源于stack exchange，提问作者simondefreeze