Asp.net MVC - 将声明身份映射到自定义用户身份

Question

在收到来自 Azure AccessControl Service 2.0 的声明身份验证后，我试图找出 ASP.NET MVC3 基础结构中映射自定义用户信息（从本地数据库加载）的最佳扩展点在哪里我

尝试通过覆盖 Authenticate 方法来实现此目的Microsoft.IdentityModel.Claims.ClaimsAuthenticationManager 类的：

public class ClaimsTransformationModule : ClaimsAuthenticationManager
{
    public override IClaimsPrincipal Authenticate(string resourceName, IClaimsPrincipal incomingPrincipal)
    {
        // Load User from database and map it to HttpContext
        // Code here

        return base.Authenticate(resourceName, incomingPrincipal);
    }
}

但是，似乎在页面加载请求期间多次调用此方法。 在此处加载自定义用户信息可能会产生性能问题。 我只想在每个经过身份验证的会话中加载它们一次。

有更好的地方可以做到这一点吗？ 也许在构建 IClaimsPrincipal 的较低级别的某个地方？

Answer 1

您只需要执行 isAuthenticated 检查：

if (incomingPrincipal.Identity.IsAuthenticated)
{
   // Load User from database and map it to HttpContext
   // Code here
}

这只会在用户首次通过身份验证后运行一次。

Answer 2

仅当用户登录时运行一次。

public class MvcApplication : System.Web.HttpApplication
    {
        protected void Application_Start()
        {
            AreaRegistration.RegisterAllAreas();

            WebApiConfig.Register(GlobalConfiguration.Configuration);
            FilterConfig.RegisterGlobalFilters(GlobalFilters.Filters);
            RouteConfig.RegisterRoutes(RouteTable.Routes);
            BundleConfig.RegisterBundles(BundleTable.Bundles);
            AuthConfig.RegisterAuth();
            FederatedAuthentication.WSFederationAuthenticationModule.SecurityTokenValidated += WSFederationAuthenticationModule_SecurityTokenValidated;
        }

        void WSFederationAuthenticationModule_SecurityTokenValidated(object sender, SecurityTokenValidatedEventArgs e)
        {
            IClaimsPrincipal principal = e.ClaimsPrincipal;
            IClaimsIdentity identity = (IClaimsIdentity)principal.Identity;

            try
            {
                //SQL connection / Claims injeciotn
                if (principal.Identity.IsAuthenticated)
                {
                   // identity.Claims.Add(new Claim(ClaimTypes.Role, "WebAdmins"));
                }

            }
            catch
            {
                //Error
            }
        }
    }

Answer 3

任何非来自 STS 的用户信息都是有关用户的卫星数据。因此最好用 Asp .Net ProfileProvider 基础设施来表示这一点。

更新：

您可以做的另一件事是实现一个简单的自定义 STS，它将把来自数据库的自定义声明添加到传入的声明中。您的自定义 STS 将信任 ACS 并接受 SAML 令牌，并且您的 Web 应用程序将信任它。

另一件我没有尝试过的事情是试图篡改来自 STS 的声明。您可以尝试的一件事是注册到 WSFederationAuthenticationModule 的 SecurityTokenValidated 事件。在这种情况下，您可以尝试将其他声明添加到事件参数的 ClaimsPrincipal 中。

该事件应该在创建会话令牌之前引发，因此您应该在每次登录时查找数据库一次。

干杯，