C# LDAP AD 认证，使用职位进行授权

Question

我在网上看了很多关于如何使用基于角色的授权的文章和示例代码，但找不到任何与基于标题的授权相关的内容。

我在 AD 身份验证类中有以下内容：

 protected ClaimsIdentity CreateIdentity(UserPrincipalExtended userPrincipal)

    {

        var identity = new ClaimsIdentity(MyAuthentication.ApplicationCookie, ClaimsIdentity.DefaultNameClaimType,

            ClaimsIdentity.DefaultRoleClaimType);

        identity.AddClaim(new Claim(

            "http://schemas.microsoft.com/accesscontrolservice/2010/07/claims/identityprovider",

            "Active Directory"));

        identity.AddClaim(new Claim(ClaimTypes.Name, userPrincipal.Name));

        identity.AddClaim(new Claim(ClaimTypes.GivenName, userPrincipal.GivenName ?? string.Empty));

        identity.AddClaim(new Claim(ClaimTypes.Surname, userPrincipal.Surname ?? string.Empty));

        identity.AddClaim(new Claim(userPrincipal.Title, userPrincipal.Title ?? string.Empty));

        identity.AddClaim(new Claim(userPrincipal.Department, userPrincipal.Department ?? string.Empty));

        identity.AddClaim(new Claim(ClaimTypes.NameIdentifier, userPrincipal.SamAccountName));

        if (!string.IsNullOrEmpty(userPrincipal.EmailAddress))

            identity.AddClaim(new Claim(ClaimTypes.Email, userPrincipal.EmailAddress));

        var claims = new List<Claim>();

        var dirEntry = (DirectoryEntry) userPrincipal.GetUnderlyingObject();

        foreach (string groupDN in dirEntry.Properties["memberOf"])

        {

            var parts = groupDN.Replace("CN=", "").Split(',');

            claims.Add(new Claim(ClaimTypes.Role, parts[0]));

        }

        if (claims.Count > 0)

            identity.AddClaims(claims);

        var title = dirEntry.Properties["title"].Value.ToString();

        return identity;

    }

这工作正常，我可以看到从 Active Directory 中检索到的正确职位和部门。显然我使用的是扩展的 UserPrincipal，因为标题和部门不是标准 UserPrincipal 的一部分。

我的问题是我无法将标题和部门值传递给我的控制器进行授权。

在 HomeController 中，我使用以下命令获取经过身份验证的用户的信息：

显然，这使用了不包含头衔和部门规定的标准 IPrincipal。

有没有一种简单的方法可以将标题和部门参数传递给控制器？是否可以将标题用于授权访问而不是角色？

Answer 1

我遇到了类似的挑战，并通过使用（在您的情况下）职位和部门作为角色来解决它。这允许使用所有现成的基于角色的授权功能。if (userPrinciple.Title != null){&nbsp; &nbsp; identity.AddClaim(new Claim(ClaimTypes.Role, userPrincipal.Title));}if (userPrincipal.Department != null){&nbsp; &nbsp; identity.AddClaim(new Claim(ClaimTypes.Role, userPrincipal.Department));}如果角色是特定于部门的，则可以将两者结合。identity.AddClaim(new Claim(ClaimTypes.Role, $"{userPrincipal.Department}.{userPrincipal.Title}));