ASP.NET应用（Azure App Service部署）：限制微软认证特定用户访问

嘿，我来帮你搞定这个限制特定Hotmail/Live用户访问的问题，分Azure门户配置和应用代码修改两部分来细说：

这一步是在身份验证层面做第一道拦截，确保只有你指定的用户能通过身份校验：

• 登录Azure门户，找到你的App Service，打开左侧菜单里的「Authentication」面板，确认「App Service Authentication」处于开启状态
• 找到已配置的「Microsoft」身份提供商，点击「编辑」按钮进入设置页面
• 滚动到「用户分配」区域，勾选「需要分配用户才能访问此应用」，然后点击「保存」
• 接着转到Azure Active Directory → 「企业应用程序」，搜索并找到和你的App Service同名的企业应用（这是App Service认证自动创建的）
• 进入该企业应用的「用户和组」页面，点击「添加用户/组」，从列表里选择你允许访问的特定Hotmail/Live用户，完成分配后点击「保存」

这样配置后，未被分配的Hotmail/Live用户在尝试登录时会直接被拒绝访问。

为了更稳妥，建议在应用代码里再加一层校验（防止绕过门户配置的极端情况），这里给你两种常用方案：

方案1：基于邮箱白名单的全局验证 #

• 首先在appsettings.json里添加允许的用户邮箱列表：

"AllowedUsers": [
  "allowed-user1@hotmail.com",
  "allowed-user2@live.com"
]

• 如果是ASP.NET MVC/Razor Pages，创建一个自定义授权过滤器：

public class AllowedUsersFilter : IAuthorizationFilter
{
    private readonly IConfiguration _configuration;

    public AllowedUsersFilter(IConfiguration configuration)
    {
        _configuration = configuration;
    }

    public void OnAuthorization(AuthorizationFilterContext context)
    {
        var userEmail = context.HttpContext.User.FindFirstValue(ClaimTypes.Email);
        var allowedEmails = _configuration.GetSection("AllowedUsers").Get<string[]>();

        if (string.IsNullOrWhiteSpace(userEmail) || !allowedEmails.Contains(userEmail, StringComparer.OrdinalIgnoreCase))
        {
            context.Result = new ForbidResult();
        }
    }
}

• 然后在Program.cs（.NET 6+）里注册这个过滤器，让它全局生效：

builder.Services.AddControllersWithViews(options =>
{
    options.Filters.Add<AllowedUsersFilter>();
});

或者只给特定控制器/Action添加：

[TypeFilter(typeof(AllowedUsersFilter))]
public class HomeController : Controller
{
    // 你的控制器逻辑
}

方案2：基于Azure AD角色的验证 #

如果后续需要扩展权限（比如管理员、普通用户），可以用角色来控制：

• 先回到Azure AD的企业应用，进入「应用角色」页面，创建一个比如「AllowedUser」的角色
• 再到「用户和组」页面，给指定用户分配这个角色
• 然后在ASP.NET应用的控制器/Action上添加授权特性：

[Authorize(Roles = "AllowedUser")]
public IActionResult Index()
{
    return View();
}

这样双重配置后，就能完美实现只允许特定Hotmail/Live用户访问你的应用啦。

内容的提问来源于stack exchange，提问作者Paraclete