ASP.NET MVC中Windows身份验证替换默认用户及Kiosk账户处理方案咨询

我刚好做过类似的内网系统，给你一套完整的可落地方案，完全匹配你的需求——Windows身份验证兜底、拦截Kiosk账户、AD验证替换用户、保证[Authorize]正常生效，重点讲清楚如何替换默认用户身份：

1. 基础配置：启用混合身份验证 #

首先要在web.config里做基础配置，允许Windows身份验证同时支持自定义Cookie身份，并且开放登录页的匿名访问：

<system.web>
  <!-- 关闭默认的Forms/Windows认证，交给OWIN接管 -->
  <authentication mode="None" />
  <!-- 默认拒绝所有匿名访问 -->
  <authorization>
    <deny users="?" />
  </authorization>
</system.web>

<!-- 单独开放登录页的匿名权限 -->
<location path="Login">
  <system.web>
    <authorization>
      <allow users="?" />
    </authorization>
  </system.web>
</location>

如果你的项目用了OWIN（大部分ASP.NET MVC 4+项目都会用），还要在Startup.cs里配置Cookie认证和Windows认证的顺序：

public void ConfigureAuth(IAppBuilder app)
{
    // 配置自定义Cookie认证，作为优先身份源
    app.UseCookieAuthentication(new CookieAuthenticationOptions
    {
        AuthenticationType = "ADAuthCookie",
        LoginPath = new PathString("/Login/Index"),
        Provider = new CookieAuthenticationProvider
        {
            // 可选：在这里添加定期验证AD身份的逻辑，比如防止用户AD账户被禁用后还能访问
            OnValidateIdentity = context =>
            {
                // 示例：每30分钟重新验证一次AD
                if (DateTimeOffset.UtcNow.Subtract(context.Properties.IssuedUtc.Value) > TimeSpan.FromMinutes(30))
                {
                    var username = context.Identity.Name;
                    using (var adContext = new PrincipalContext(ContextType.Domain))
                    {
                        if (!adContext.ValidateCredentials(username, null, ContextOptions.Negotiate))
                        {
                            context.RejectIdentity();
                            context.AuthenticationManager.SignOut("ADAuthCookie");
                        }
                    }
                }
                return Task.CompletedTask;
            }
        }
    });

    // 启用Windows身份验证，作为兜底的初始身份
    app.UseWindowsAuthentication();
}

2. 拦截Kiosk账户：全局过滤器实现 #

创建一个全局授权过滤器，用来检测初始Windows身份是否是Kiosk账户，是的话直接跳转到自定义登录页：

public class KioskCheckFilter : AuthorizeAttribute
{
    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        // 先判断是否已经通过AD登录（有自定义Cookie身份），是的话直接放行
        if (httpContext.User.Identity.IsAuthenticated && 
            httpContext.User.Identity.AuthenticationType == "ADAuthCookie")
        {
            return true;
        }

        // 检查当前的Windows身份
        var windowsIdentity = httpContext.User.Identity as WindowsIdentity;
        if (windowsIdentity?.IsAuthenticated == true)
        {
            // 这里根据你的规则判断Kiosk账户，比如用户名包含"Kiosk"或者特定前缀
            if (windowsIdentity.Name.IndexOf("Kiosk", StringComparison.OrdinalIgnoreCase) >= 0)
            {
                // 保存当前请求的路径，登录后跳转回来
                var returnUrl = HttpUtility.UrlEncode(httpContext.Request.Url.PathAndQuery);
                httpContext.Response.Redirect($"/Login/Index?ReturnUrl={returnUrl}");
                return false;
            }
            // 非Kiosk的Windows用户，直接放行
            return true;
        }

        // 其他未认证情况，引导到登录页
        return false;
    }
}

然后在FilterConfig.cs里注册这个全局过滤器：

public class FilterConfig
{
    public static void RegisterGlobalFilters(GlobalFilterCollection filters)
    {
        filters.Add(new KioskCheckFilter());
        filters.Add(new HandleErrorAttribute());
    }
}

3. 自定义AD登录页实现 #

创建LoginController，添加允许匿名访问的登录页和验证逻辑：

[AllowAnonymous]
public class LoginController : Controller
{
    // GET: 登录页
    public ActionResult Index(string returnUrl)
    {
        ViewBag.ReturnUrl = returnUrl;
        return View();
    }

    // POST: 提交登录信息，验证AD
    [HttpPost]
    [AllowAnonymous]
    [ValidateAntiForgeryToken]
    public ActionResult Index(LoginViewModel model, string returnUrl)
    {
        if (!ModelState.IsValid)
        {
            return View(model);
        }

        // AD身份验证逻辑
        bool isAuthenticated = false;
        using (var adContext = new PrincipalContext(ContextType.Domain))
        {
            // 验证用户名和密码
            isAuthenticated = adContext.ValidateCredentials(model.Username, model.Password);
        }

        if (isAuthenticated)
        {
            // 关键：创建自定义身份，替换默认的Windows用户
            var claims = new List<Claim>
            {
                new Claim(ClaimTypes.Name, model.Username),
                new Claim(ClaimTypes.AuthenticationMethod, "ActiveDirectory")
            };

            // 可选：获取用户的AD角色，支持[Authorize(Roles="xxx")]
            using (var adContext = new PrincipalContext(ContextType.Domain))
            {
                var userPrincipal = UserPrincipal.FindByIdentity(adContext, model.Username);
                if (userPrincipal != null)
                {
                    var roles = userPrincipal.GetGroups().Select(g => g.SamAccountName);
                    foreach (var role in roles)
                    {
                        claims.Add(new Claim(ClaimTypes.Role, role));
                    }
                }
            }

            // 创建ClaimsIdentity并登录，这一步会把身份写入Cookie
            var identity = new ClaimsIdentity(claims, "ADAuthCookie");
            HttpContext.GetOwinContext().Authentication.SignIn(new AuthenticationProperties
            {
                IsPersistent = model.RememberMe // 可选：记住登录状态
            }, identity);

            // 跳转回原来的页面
            return RedirectToLocal(returnUrl);
        }

        ModelState.AddModelError("", "用户名或密码错误");
        return View(model);
    }

    // 跳转回本地页面的辅助方法
    private ActionResult RedirectToLocal(string returnUrl)
    {
        if (Url.IsLocalUrl(returnUrl))
        {
            return Redirect(returnUrl);
        }
        return RedirectToAction("Index", "Home");
    }
}

对应的LoginViewModel：

public class LoginViewModel
{
    [Required]
    [Display(Name = "用户名")]
    public string Username { get; set; }

    [Required]
    [DataType(DataType.Password)]
    [Display(Name = "密码")]
    public string Password { get; set; }

    [Display(Name = "记住我")]
    public bool RememberMe { get; set; }
}

4. 替换默认用户的核心逻辑解析 #

你问到的替换默认用户，核心是通过OWIN的Authentication.SignIn()方法，将AD验证后的用户身份写入Cookie。之后的每个请求，OWIN会自动读取这个Cookie，创建对应的ClaimsPrincipal并替换HttpContext.User，这样[Authorize]特性会优先使用这个自定义身份，而不是原来的Windows身份。

关键点：

• 自定义身份的AuthenticationType要和Cookie认证配置的一致（这里是ADAuthCookie），这样OWIN才能识别并优先使用它。
• 一定要在全局过滤器里先判断是否已经有自定义身份，避免Kiosk账户拦截逻辑重复触发。

5. 验证[Authorize]特性生效 #

现在不管是正常的Windows用户，还是AD登录后的用户，[Authorize]特性都会正常工作：

• 未认证用户（或者Kiosk用户未登录）会被引导到登录页
• 已认证用户（Windows或AD）可以访问带[Authorize]的Action
• 如果添加了角色Claim，[Authorize(Roles = "Admin")]也能正确校验用户角色

内容的提问来源于stack exchange，提问作者Jorge Rodrigues