ASP.NET MVC 5双身份认证咨询：AD与SQL Server认证共存方案

我之前帮团队处理过几乎一模一样的场景，ASP.NET MVC5里同时跑AD后台认证和SQL普通用户认证完全可行，给你分享几个经过实践验证的方案：

• 你可以基于已有的自定义Authorize特性扩展，新增一个枚举参数来区分认证类型，让特性根据不同场景切换AD或SQL认证逻辑。
• 核心思路是在AuthorizeCore方法里做分支判断：后台接口走AD组校验，普通用户接口走SQL用户有效性验证。
• 示例代码片段：

public enum AuthMode { ActiveDirectory, SqlServer }

public class DualAuthAuthorizeAttribute : AuthorizeAttribute
{
    public AuthMode RequiredAuthMode { get; set; }

    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        var currentUser = httpContext.User;
        if (!currentUser.Identity.IsAuthenticated) return false;

        switch (RequiredAuthMode)
        {
            case AuthMode.ActiveDirectory:
                // 复用你之前的AD认证逻辑，比如验证用户是否在指定管理组
                return ValidateAdUser(currentUser.Identity.Name, "BackendAdminGroup");
            case AuthMode.SqlServer:
                // SQL用户校验：从数据库查询用户状态、权限等
                return ValidateSqlUser(currentUser.Identity.Name);
            default:
                return false;
        }
    }

    // 实现ValidateAdUser和ValidateSqlUser的具体逻辑
}

• 使用时，后台控制器标记[DualAuthAuthorize(RequiredAuthMode = AuthMode.ActiveDirectory)]，普通用户控制器标记[DualAuthAuthorize(RequiredAuthMode = AuthMode.SqlServer)]即可。

• MVC5可以结合OWIN同时配置Forms认证（对应SQL用户）和Windows认证（对应AD），通过不同的认证类型和Cookie来隔离两种逻辑。
• 首先在Startup.cs里配置两种认证：

public void Configuration(IAppBuilder app)
{
    // SQL用户的Forms认证配置
    app.UseFormsAuthentication(new FormsAuthenticationOptions
    {
        AuthenticationType = "SqlAuth",
        LoginPath = new PathString("/Account/SqlLogin"),
        CookieName = "SqlAuth_Cookie",
        ExpireTimeSpan = TimeSpan.FromHours(8)
    });

    // AD用户的Windows认证配置
    app.UseWindowsAuthentication(new WindowsAuthenticationOptions
    {
        AuthenticationType = "AdAuth",
        LoginPath = new PathString("/Account/AdLogin")
    });
}

• 登录逻辑区分处理：SQL登录成功后生成SqlAuth类型的认证票据；AD登录则直接利用Windows认证的身份，或者手动验证AD账号后生成AdAuth票据。
• 最后在自定义Authorize特性里，校验用户的认证类型是否匹配接口要求即可。

• 两种认证的Cookie要设置不同名称，避免身份凭证冲突。
• SQL用户的密码必须存储哈希值（比如用BCrypt或ASP.NET自带的PasswordHasher），绝对不能明文存储。
• AD认证除了验证用户身份，一定要额外校验用户所属的AD组，确保只有授权的后台人员能访问管理界面。
• 可以在登录页面提供「后台AD登录」和「普通用户登录」两个入口，引导用户选择对应的认证方式。

内容的提问来源于stack exchange，提问作者madlan