ASP.NET Core 2中如何刷新Windows认证用户的声明与角色？

这个坑我之前在ASP.NET Core 2.x的IIS部署场景里踩过——默认情况下，Windows集成认证的用户角色会被缓存起来，除非应用重启或者用户的认证会话完全失效，否则新的角色变更不会生效。下面给你几个基于内置功能的解决方案，不用额外依赖AD查询组件：

1. 配置认证会话的过期策略（推荐） #

Windows认证后，ASP.NET Core会把用户的身份票据存在Cookie中，默认的缓存时间比较长。我们可以调整这个Cookie的过期时间，让系统定期重新拉取AD角色：

修改你的认证配置代码，添加Cookie的过期设置：

services.AddAuthentication(options =>
{
    options.DefaultScheme = IISDefaults.AuthenticationScheme;
    options.DefaultForbidScheme = IISDefaults.AuthenticationScheme;
})
.AddCookie(options =>
{
    // 设置票据过期时间，比如15分钟，到期后自动重新认证
    options.ExpireTimeSpan = TimeSpan.FromMinutes(15);
    // 滑动过期：用户活跃时自动延长有效期，避免频繁重新认证
    options.SlidingExpiration = true;
    // 可选：设置Cookie的名称，避免和其他Cookie冲突
    options.Cookie.Name = "MyAppWindowsAuth";
});

这样配置后，用户的认证会话会每隔15分钟自动刷新一次，此时会重新从AD获取最新的角色信息。既保证了角色能及时更新，又不会对性能造成太大影响。

2. 自定义Claims转换，实时刷新角色（适合高实时性场景） #

如果你的业务要求角色变更后立即生效，可以通过IClaimsTransformation接口，在每次请求时重新从AD拉取用户的角色：

首先创建一个Claims转换类：

public class RefreshAdRolesTransformation : IClaimsTransformation
{
    public async Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)
    {
        // 只处理已认证的Windows用户
        if (principal.Identity is not WindowsIdentity windowsIdentity || !windowsIdentity.IsAuthenticated)
        {
            return principal;
        }

        // 从AD重新获取当前用户的角色
        using var context = new PrincipalContext(ContextType.Domain);
        using var userPrincipal = UserPrincipal.FindByIdentity(context, windowsIdentity.Name);
        var currentRoles = userPrincipal.GetGroups(context)
                                        .Select(g => g.Name)
                                        .ToList();

        // 移除旧的角色Claims
        var newIdentity = new ClaimsIdentity(principal.Identity);
        foreach (var oldRoleClaim in newIdentity.FindAll(ClaimTypes.Role).ToList())
        {
            newIdentity.RemoveClaim(oldRoleClaim);
        }

        // 添加最新的角色Claims
        foreach (var role in currentRoles)
        {
            newIdentity.AddClaim(new Claim(ClaimTypes.Role, role));
        }

        return new ClaimsPrincipal(newIdentity);
    }
}

然后在Startup.cs里注册这个服务：

services.AddScoped<IClaimsTransformation, RefreshAdRolesTransformation>();

注意：这个方法会在每次请求时都查询AD，对性能有一定影响。如果角色变更不是特别频繁，可以给这个逻辑加个本地缓存（比如用IMemoryCache设置5分钟的过期时间），平衡实时性和性能。

3. 提供手动刷新认证的入口 #

如果只需要在特定场景下让用户立即获取新角色，可以添加一个“重新登录”的功能，强制清除当前认证会话：

在控制器里添加一个动作：

public async Task<IActionResult> RefreshAuthentication()
{
    // 清除当前用户的认证Cookie
    await HttpContext.SignOutAsync(IISDefaults.AuthenticationScheme);
    // 重定向回首页，触发重新认证
    return RedirectToAction("Index", "Home");
}

用户点击这个按钮后，会自动重新完成Windows认证，获取最新的角色信息。

额外注意事项 #

• 你的Kestrel配置里KeepAliveTimeout=30分钟，这个和身份缓存无关，但如果用户长时间保持连接，可能会一直使用旧的Claims，结合Cookie的滑动过期配置可以解决这个问题。
• 不要依赖应用池回收来更新角色：应用池回收是被动的，而且会导致所有用户的会话失效，不是理想的解决方案。

内容的提问来源于stack exchange，提问作者ahsteele