ASP.NET Core中管理员无需旧密码重置用户密码问题

你遇到的问题核心是误用了UserManager.ChangePasswordAsync——这个方法确实需要旧密码验证用户身份，但管理员场景下应该使用不需要旧密码的重置方案。ASP.NET Identity提供了两种适配管理员权限的解决方法：

方案一：使用ResetPasswordAsync（推荐） #

通过生成密码重置令牌，直接用令牌完成密码重置，无需旧密码。步骤如下：

1. 完善UserViewModel #

添加密码确认字段，确保输入的新密码一致：

public class UserViewModel
{
    public string Id { get; set; }
    public string FirstName { get; set; }
    public string LastName { get; set; }
    public string Email { get; set; }
    public string RoleId { get; set; }

    [Required]
    [DataType(DataType.Password)]
    public string Password { get; set; }

    [DataType(DataType.Password)]
    [Compare("Password", ErrorMessage = "密码与确认密码不匹配")]
    public string ConfirmPassword { get; set; }
}

2. 修改AccountController的POST Edit方法 #

在更新用户基本信息的同时，处理密码重置逻辑：

[Authorize(Roles = "Admin")]
[HttpPost]
public async Task<ActionResult> Edit(string id, UserViewModel model)
{
    if (!ModelState.IsValid)
    {
        ViewData["RoleId"] = new SelectList(_context.Roles, "Id", "Name", model.RoleId);
        return View(model);
    }

    var user = await _userManager.FindByIdAsync(id);
    if (user == null) return NotFound();

    // 更新用户基本信息
    user.FirstName = model.FirstName;
    user.LastName = model.LastName;
    user.Email = model.Email;
    user.RoleId = model.RoleId;

    // 处理密码重置（仅当输入了新密码时执行）
    if (!string.IsNullOrEmpty(model.Password))
    {
        // 生成重置令牌（管理员直接使用，无需发送给用户）
        var resetToken = await _userManager.GeneratePasswordResetTokenAsync(user);
        var passwordResetResult = await _userManager.ResetPasswordAsync(user, resetToken, model.Password);

        if (!passwordResetResult.Succeeded)
        {
            foreach (var error in passwordResetResult.Errors)
            {
                ModelState.AddModelError(string.Empty, error.Description);
            }
            ViewData["RoleId"] = new SelectList(_context.Roles, "Id", "Name", model.RoleId);
            return View(model);
        }
    }

    // 保存用户信息更新
    var updateResult = await _userManager.UpdateAsync(user);
    if (updateResult.Succeeded)
    {
        return RedirectToAction("Index");
    }

    // 处理更新失败的错误
    foreach (var error in updateResult.Errors)
    {
        ModelState.AddModelError(string.Empty, error.Description);
    }
    ViewData["RoleId"] = new SelectList(_context.Roles, "Id", "Name", model.RoleId);
    return View(model);
}

3. 更新视图添加确认密码输入框 #

在密码输入框下方添加确认密码字段：

<div class="col-md-6">
    <div class="form-group">
        <label asp-for="ConfirmPassword" class="control-label"></label>
        <input asp-for="ConfirmPassword" type="password" class="form-control" />
        <span asp-validation-for="ConfirmPassword" class="text-danger"></span>
    </div>
</div>

方案二：使用RemovePasswordAsync + AddPasswordAsync #

如果需要强制清除用户旧密码并设置新密码，可以用这个组合：

// 替换方案一中的密码重置逻辑
if (!string.IsNullOrEmpty(model.Password))
{
    // 先移除旧密码
    var removeResult = await _userManager.RemovePasswordAsync(user);
    if (!removeResult.Succeeded)
    {
        foreach (var error in removeResult.Errors)
        {
            ModelState.AddModelError(string.Empty, error.Description);
        }
        ViewData["RoleId"] = new SelectList(_context.Roles, "Id", "Name", model.RoleId);
        return View(model);
    }

    // 添加新密码
    var addPasswordResult = await _userManager.AddPasswordAsync(user, model.Password);
    if (!addPasswordResult.Succeeded)
    {
        foreach (var error in addPasswordResult.Errors)
        {
            ModelState.AddModelError(string.Empty, error.Description);
        }
        ViewData["RoleId"] = new SelectList(_context.Roles, "Id", "Name", model.RoleId);
        return View(model);
    }
}

注意事项 #

• 确保密码符合ASP.NET Identity的默认密码策略（至少6位、包含大小写等），如需修改策略，可在Program.cs中配置IdentityOptions。
• 客户端验证依赖视图中的_ValidationScriptsPartial，确保该部分正常加载。
• 管理员权限已通过[Authorize(Roles = "Admin")]限制，适配你的内部业务场景需求。

内容的提问来源于stack exchange，提问作者Gerry Humphreys