如何仅在 ASP.NET Core 子路径上使用 Windows 身份验证？

Question

我正在尝试仅在我的 ASP.NET Core MVC 应用程序中对子路由配置 Windows 身份验证。

我的问题是当我添加时

services.AddAuthentication().AddNegotiate()

我收到一个错误

协商身份验证处理程序不能在直接支持 Windows 身份验证的服务器上使用。

这导致我添加 web.config 作为文档解释：

<?xml version="1.0" encoding="utf-8"?>
<configuration>
    <location path="." inheritInChildApplications="false">
        <system.webServer>
            <security>
                <authentication>
                    <anonymousAuthentication enabled="false" />
                    <windowsAuthentication enabled="true" />
                </authentication>
            </security>
        </system.webServer>
    </location>
</configuration>

并且错误消失了。但是，现在每个请求都会弹出 Windows 身份验证。

我尝试将位置路径更改为.testendpoint，但这会在基本路径中引发原始错误。

那么有可能吗？我该如何做到这一点？只有/testendpoint 会要求 Windows 身份验证，而应用程序的其余部分将与我在 ASP.NET Core 应用程序中配置的任何其他身份验证一起使用？

Answer 1

为了通过 Windows 身份验证保护某个页面/操作方法，请在操作方法Authorize 属性中指定相应的身份验证方案。

[Authorize(AuthenticationSchemes = IISServerDefaults.AuthenticationScheme)]
public IActionResult UsingWindowsAuthentication()

确保在您的网站上启用Windows authentication。
为了使用其他身份验证方案，例如“个人账户”，匿名认证也开启了。

不得使用 Windows 身份验证的控制器和/或操作方法已指定默认方案。
例如，对于使用开箱即用的“个人帐户”身份验证类型作为默认身份验证方法的ASP.NET Core MVC 项目，即Identity.Application。

[Authorize(AuthenticationSchemes = "Identity.Application")]
public IActionResult Index()

请参阅documentation，了解如何设置和配置多个身份验证方案。

Answer 2

使用端点路由的另一种方式：

我们有一个应用程序架构，将在整个应用程序中使用，称为 eavfw。

在此处使用名为 login/ntlm 的自定义端点，元数据为 new AuthorizeAttribute(NegotiateDefaults.AuthenticationScheme)，它只允许由有效的 Windows 身份验证用户访问。

然后，我们在数据库中使用其 AD 用户名创建用户。

    endpoints.MapGet("/.auth/login/ntlm", async httpcontext =>
    {
        var loggger = httpcontext.RequestServices.GetRequiredService<ILogger<Startup>>();
        var windowsAuth = await httpcontext.AuthenticateAsync(NegotiateDefaults.AuthenticationScheme);
        
        if (!windowsAuth.Succeeded)
        {
            loggger.LogWarning("Not authenticated: Challening"); 
        }
        if (windowsAuth.Succeeded)
        {
            loggger.LogWarning("Authenticated");
           
            var name = string.Join("\\", windowsAuth.Principal.Claims.FirstOrDefault(c => c.Type.EndsWith("name")).Value.Split("\\").Skip(1));

            var context = httpcontext.RequestServices.GetRequiredService<DynamicContext>();
            var users = context.Set<SystemUser>();
            var user = await context.Set<SystemUser>().Where(c => c.PrincipalName == name).FirstOrDefaultAsync();
            if (user == null)
            {
                user = new SystemUser
                {
                    PrincipalName = name,
                    Name = name,
                    // Email = email,
                };
                await users.AddAsync(user);
                await context.SaveChangesAsync();
            }
             
            var principal = new ClaimsPrincipal(new ClaimsIdentity(new Claim[] {                                  
                       new Claim(Claims.Subject,user.Id.ToString())
                    }, "ntlm"))
            {

            };

            await httpcontext.SignInAsync("ntlm",
                 principal, new AuthenticationProperties(
                            new Dictionary<string, string>
                            {
                                ["schema"] = "ntlm"
                            }));

            httpcontext.Response.Redirect("/account/login/callback");
        }
      

    }).WithMetadata(new AuthorizeAttribute(NegotiateDefaults.AuthenticationScheme));

使用辅助身份验证 cookie，我们现在可以使我们的应用程序的特定区域需要 Windows 身份验证，它可以简单地依赖 Authorize("ntlm")，因为它会自动转发身份验证调用以检查是否已经登录，并且它作为上述端点中的登录调用的一部分，实际上在它重定向到一般帐户回调页面之前登录 eavfw.external，该页面将在从 eavfw.external cookie 登录 eavfw 之前进行一些最终验证

            services.AddAuthentication().AddCookie("ntlm", o => {
                o.LoginPath = "/.auth/login/ntlm";
                o.ForwardSignIn = "eavfw.external";
                o.ForwardAuthenticate = "eavfw";
            });

因此，根据您的应用程序的 MVC 框架的繁重程度，有几种方法可以扩展和使用 auth 核心中的身份验证系统。