咨询：在.NET 8身份微服务中复用现有数据库用户凭证的可行性

你完全不用把现有用户和角色数据迁移到.NET Identity默认生成的表中，利用.NET Identity的高度扩展性，直接适配现有数据库表结构即可实现需求，具体方案如下：

1. 自定义用户/角色实体，映射现有表结构 #

创建对应现有表的实体类，可选择继承IdentityUser/IdentityRole（复用Identity的基础属性），或直接实现IUser/IRole接口，通过EF Core的数据注解映射到你的现有表和字段：

// 对应现有外部用户表
[Table("ExternalUsers")]
public class CustomExternalUser : IdentityUser
{
    // 映射现有表的主键字段（如果不是默认的Id）
    [Column("UserId")]
    public override string Id { get; set; }
    
    // 映射其他自定义字段，比如现有表中的Username字段
    [Column("Username")]
    public override string UserName { get; set; }
}

// 对应现有角色表
[Table("Roles")]
public class CustomRole : IdentityRole
{
    [Column("RoleId")]
    public override string Id { get; set; }
    
    [Column("RoleName")]
    public override string Name { get; set; }
}

2. 实现自定义Store接口，对接现有表操作 #

.NET Identity通过IUserStore<TUser>、IRoleStore<TRole>等接口抽象数据访问，你可以自定义Store类实现这些接口，直接操作现有数据库表：

public class CustomUserStore : UserStoreBase<CustomExternalUser, CustomRole, AppDbContext, string>
{
    public CustomUserStore(AppDbContext context, IdentityErrorDescriber describer = null) 
        : base(context, describer)
    {
    }

    // 重写或实现需要的方法，比如密码验证（如果现有哈希算法和Identity默认不同）
    public override async Task<bool> VerifyPasswordAsync(UserManager<CustomExternalUser> manager, CustomExternalUser user, string password)
    {
        // 这里实现你原有系统的密码哈希验证逻辑
        return await Task.FromResult(YourExistingPasswordHasher.Verify(user.PasswordHash, password));
    }
}

// 同理实现CustomRoleStore对接现有角色表和用户角色关联表
public class CustomRoleStore : RoleStoreBase<CustomRole, AppDbContext, string>
{
    public CustomRoleStore(AppDbContext context, IdentityErrorDescriber describer = null) 
        : base(context, describer)
    {
    }
}

3. 配置.NET Identity使用自定义组件 #

在Program.cs中注册Identity时，指定你的自定义实体和Store，替换默认实现：

builder.Services.AddDbContext<AppDbContext>(options =>
    options.UseSqlServer(builder.Configuration.GetConnectionString("ExistingDb")));

builder.Services.AddIdentity<CustomExternalUser, CustomRole>()
    .AddUserStore<CustomUserStore>()
    .AddRoleStore<CustomRoleStore>()
    .AddDefaultTokenProviders();

4. 整合Azure AD内部用户认证 #

对于内部Azure AD用户，可在身份微服务中同时启用Azure AD认证，并通过Claims转换将AD用户与系统角色关联：

// 注册Azure AD认证
builder.Services.AddAuthentication()
    .AddMicrosoftIdentityWebApi(builder.Configuration.GetSection("AzureAd"))
    .EnableTokenAcquisitionToCallDownstreamApi()
    .AddInMemoryTokenCaches();

// 添加Claims转换，将Azure AD用户映射到系统角色
builder.Services.AddScoped<IClaimsTransformation, AzureAdClaimsTransformer>();

public class AzureAdClaimsTransformer : IClaimsTransformation
{
    public async Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)
    {
        var email = principal.FindFirst(ClaimTypes.Email)?.Value;
        // 从现有数据库表中查询该内部用户的角色
        var roles = await YourRoleService.GetRolesForInternalUser(email);
        var identity = principal.Identity as ClaimsIdentity;
        foreach (var role in roles)
        {
            identity.AddClaim(new Claim(ClaimTypes.Role, role));
        }
        return principal;
    }
}

5. 统一角色授权策略 #

在身份微服务和各业务微服务中，基于角色配置授权策略，确保内部/外部用户都能通过角色校验访问资源：

// 身份微服务配置授权
builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("OrderServiceAccess", policy =>
        policy.RequireRole("OrderAdmin", "OrderViewer"));
});

// 业务微服务中直接使用该策略
[Authorize(Policy = "OrderServiceAccess")]
public class OrderController : ControllerBase
{
    // ...
}

关键注意事项 #

• 若现有密码哈希算法与.NET Identity默认的PasswordHasher<T>不一致，必须在自定义UserStore中实现对应的验证逻辑。
• 可先保持现有表结构不变，后续若需迁移到Identity默认表，再逐步导出数据即可，无需一次性重构。

内容的提问来源于stack exchange，提问作者Jon Sowers