使用 Windows 身份验证的 Intranet 应用程序是否需要 ASP.NET Core Identity

在 Intranet Web 应用程序中使用 Windows 身份验证我想实现以下目标：

• 从 AD 收集其他属性（姓名、员工编号）
• 从数据库表中收集其他属性（工作时间、工资）
• 根据应用程序角色（而不是 AD 组）进行授权
• 基于 AD 属性授权（有直接报告）
• 用户未提供用户名/密码

在我寻找答案时建议我需要添加ClaimsTransformation到我的应用程序：

如何对数据库中的用户使用 Windows 身份验证

使用 .Net Core 中的 Windows Authenticated 应用程序从 SQL 填充自定义声明

.net core 2.0 中的缓存声明

虽然我不完全理解解决方案以及原因ClaimsTransformation每个请求都会发生，所以我正在寻找以下问题的答案：

1. ASP.NET Core Identity 是否需要ClaimsTransformation上班？
2. Does ClaimsTransformation仅使用 Windows 身份验证或基于表单的身份验证会在每个请求上发生吗？
3. 每个请求都必须发生这种情况吗？
4. 缓存诸如GivenName、Surname之类的声明看起来很简单，但是角色呢？需要采取哪些步骤来确保数据库不会每次都受到影响，但角色会在发生更改时得到更新。
5. 对于我想做的事情有更简单的选择吗？

这是使用 IClaimsTransformation 的替代方案（使用 .NET 6）

一些注意事项：

在 ClaimsTransformer 类中，克隆现有的 ClaimsPrincipal 并将您的 Claims 添加到that，而不是试图修改现有的。然后必须在ConfigureServices() 中将其注册为单例。

mheptinstall 的答案中用于设置 AccessDeniedPath 的技术在这里不起作用，相反，我必须使用 UseStatusCodePages() 方法才能重定向到 403 错误的自定义页面。

新声明必须使用类型创建newIdentity.RoleClaimType, NOT System.Security.Claims.ClaimTypes.Role，否则为 AuthorizeAttribute（例如[Authorize(Roles = "Admin")]） 不管用

显然，应用程序将设置为使用 Windows 身份验证。

ClaimsTransformer.cs

public class ClaimsTransformer : IClaimsTransformation
{
    // Can consume services from DI as needed, including scoped DbContexts
    public ClaimsTransformer(IHttpContextAccessor httpAccessor) { }

    public async Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)
    {
        // Clone current identity
        var clone = principal.Clone();
        var newIdentity = (ClaimsIdentity)clone.Identity;

        // Get the username
        var username = principal.Claims.FirstOrDefault(c => c.Type == ClaimTypes.NameIdentifier || c.Type == ClaimTypes.Name).Value;

        if (username == null)
        {
            return principal;
        }

        // Get the user roles from the database using the username we've just obtained
        // Ideally these would be cached where possible
        
        // ...

        // Add role claims to cloned identity
        foreach (var roleName in roleNamesFromDatabase)
        {
            var claim = new Claim(newIdentity.RoleClaimType, roleName);
            newIdentity.AddClaim(claim);
        }

        return clone;
    }
}

启动.cs

public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthentication(IISDefaults.AuthenticationScheme);
    services.AddAuthorization();
    services.AddSingleton<IClaimsTransformation, ClaimsTransformer>();

    services.AddMvc().AddRazorRuntimeCompilation();

    // ...
}

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    app.UseStatusCodePages(async context => {
        if (context.HttpContext.Response.StatusCode == 403)
        {
            context.HttpContext.Response.Redirect("/Home/AccessDenied");
        }
    });

    app.UseHttpsRedirection();
    app.UseStaticFiles();

    app.UseRouting();

    app.UseAuthentication();
    app.UseAuthorization();

    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllerRoute(
            name: "default",
            pattern: "{controller=Home}/{action=Index}/{id?}");
    });
}

Example HomeController.cs

[Authorize]
public class HomeController : Controller
{
    public HomeController()
    { }

    public IActionResult Index()
    {
        return View();
    }

    [Authorize(Roles = "Admin")]
    public IActionResult AdminOnly()
    {
        return View();
    }

    [AllowAnonymous]
    public IActionResult AccessDenied()
    {
        return View();
    }
}