Windows 身份验证 Asp.net 核心 2 数据库角色授权

Question

我正在开发一个内部网应用程序，该应用程序将使用 Asp.Net Core 2.1和Windows身份验证。我从 IIS 获得传递很好，但我想使用存储在数据库中的角色进行授权。

我有一个 IClaimsTransformeration 类，该类根据 LAN ID 从数据库中获取角色，并使用角色密钥将它们添加到声明列表中。

public class MyClaimsTransformer : IClaimsTransformation
{
private readonly IUnitOfWorkMtuSecurity _unitOfWork;
public MyClaimsTransformer(IUnitOfWorkMtuSecurity unitOfWork)
{
_unitOfWork = unitOfWork;
}
// Each time HttpContext.AuthenticateAsync() or HttpContext.SignInAsync(...) is called the claims transformer is invoked. So this might be invoked multiple times. 
public async Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)
{
var identity = principal.Identities.FirstOrDefault(x => x.IsAuthenticated);
if (identity == null) return principal;
//var user = await _userManager.GetUserAsync(principal);
var user = identity.Name;
if (user == null) return principal;
//Get user with roles from repository.
var dbUser = _unitOfWork.UserInformations.GetUserWithRoles(user);
// Inject DbRoles into Claims list
foreach (var role in dbUser.UserInformationUserRoles.Select((r=>r.UserRole)))
{
var claim = new Claim(ClaimTypes.Role, role.Name);
identity.AddClaim(claim);
}
return new ClaimsPrincipal(identity);
}  
}

我在初创公司的服务中添加了 IClaimsTransformation.cs

services.AddScoped<IClaimsTransformation, MyClaimsTransformer>();

然后我把属性添加到我的控制器

[Authorize(Roles = "Administrator")]

当我运行我的应用程序时，出现以下错误：

处理

请求时发生未处理的异常。 InvalidOperationException：未指定 authenticationScheme，并且未找到 DefaultForbidScheme。 Microsoft.AspNetCore.Authentication.AuthenticationService.ForbidAsync(HttpContext context， string scheme， AuthenticationProperties properties(

在启动中.cs我将以下内容添加到服务中

services.AddAuthentication(IISDefaults.AuthenticationScheme);

这摆脱了错误，但无论如何我都会收到 403 错误。

您无权查看此页面。 HTTP 错误 403

当我观察来自 MyClaimsTransformer 的返回值时，我可以看到管理员的角色已添加到声明列表中，但无论如何我都会收到 403 错误。

有人对我错过的东西有建议吗？

如果我在视图中使用以下语法，它可以在视图级别工作：

@if (User.HasClaim("http://schemas.microsoft.com/ws/2008/06/identity/claims/role", "Administrator"))
{
<li><a asp-area="" asp-controller="UserInformationAdmin" asp-action="Index">Admin</a></li>
} 

不过，我必须指定整个架构 url。

Answer 1

ClaimIdentity 的 RoleClaimType 为 "http://schemas.microsoft.com/ws/2008/06/identity/claims/groupsid">

它必须是"http://schemas.microsoft.com/ws/2008/06/identity/claims/role"的角色声明类型

由于这是一个只读属性，因此我更改了 TransformAsync 方法以创建新的 ClaimsPrincipal，而不是尝试向现有声明添加数据库角色。我的应用程序不需要任何 AD 组，因此它仅使用窗口进行身份验证。下面的代码似乎有效。

public class MyClaimsTransformer : IClaimsTransformation
{
private readonly IUnitOfWorkSecurity _unitOfWork;
public MyClaimsTransformer(IUnitOfWorkSecurity unitOfWork)
{
_unitOfWork = unitOfWork;
}
// Each time HttpContext.AuthenticateAsync() or HttpContext.SignInAsync(...) is called the claims transformer is invoked. So this might be invoked multiple times. 
public async Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)
{
var identity = principal.Identities.FirstOrDefault(x => x.IsAuthenticated);
if (identity == null) return principal;
var user = identity.Name;
if (user == null) return principal;
//Get user with roles from repository.
var dbUser = _unitOfWork.UserInformations.GetUserWithRoles(user);
var claims = new List<Claim>();
//The claim identity uses a claim with the claim type below to determine the name property.
claims.Add(new Claim(@"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name", user, "Name"));
//todo: We should probably create a cache for this
// Get User Roles from database and add to list of claims.
foreach (var role in dbUser.UserInformationUserRoles.Select((r=>r.UserRole)))
{
claims.Add(new Claim(ClaimTypes.Role, role.Name));
}
var newClaimsIdentity = new ClaimsIdentity(claims,"Kerberos","", "http://schemas.microsoft.com/ws/2008/06/identity/claims/role");
var newClaimsPrincipal = new ClaimsPrincipal(newClaimsIdentity);
return new ClaimsPrincipal(newClaimsPrincipal);
}  
}