ASP.NET Core中CustomIdentityUser修改用户时密码错误问题排查

核心原因 #

你代码里的关键错误是：手动创建了一个全新的CustomIdentityUser对象，而非从数据库加载当前登录用户的真实实例。

这个新对象只设置了UserName和Email，但缺少数据库中存储的用户ID、密码哈希等核心字段。UserManager.ChangePasswordAsync需要依赖用户实例中的密码哈希来验证旧密码是否正确，面对空的密码哈希，系统必然判定“密码错误”。

具体错误点分析 #

• 你通过new CustomIdentityUser()创建的对象是内存中的空对象，和数据库里的真实用户没有关联，CheckPasswordAsync和ChangePasswordAsync根本无法验证真实密码。
• 没有基于当前登录用户进行操作，而是用ViewModel的用户名构建对象，若用户修改了用户名，连匹配数据库用户都做不到。

修正后的代码 #

public async Task<ActionResult> UpdateUser(ChangeUserViewModel changeUserViewModel)
{
    if (ModelState.IsValid)
    {
        // 获取当前登录用户的ID
        var userId = User.FindFirstValue(ClaimTypes.NameIdentifier);
        if (userId == null)
        {
            return RedirectToAction("Login", "Account");
        }

        // 从数据库加载真实用户实例
        var member = await _userManager.FindByIdAsync(userId);
        if (member == null)
        {
            ModelState.AddModelError(string.Empty, "用户不存在");
            return View(changeUserViewModel);
        }

        // 更新用户基本信息（如果需要修改用户名/邮箱）
        member.UserName = changeUserViewModel.UserName;
        member.Email = changeUserViewModel.Email;
        var updateUserResult = await _userManager.UpdateAsync(member);
        if (!updateUserResult.Succeeded)
        {
            foreach (var error in updateUserResult.Errors)
            {
                ModelState.AddModelError(string.Empty, error.Description);
            }
            return View(changeUserViewModel);
        }

        // 执行密码修改操作
        var changePasswordResult = await _userManager.ChangePasswordAsync(member, changeUserViewModel.CurrentPassword, changeUserViewModel.NewPassword);
        if (changePasswordResult.Succeeded)
        {
            await _signInManager.RefreshSignInAsync(member);
            return RedirectToAction("Login", "Account");
        }
        else
        {
            foreach (var error in changePasswordResult.Errors)
            {
                ModelState.AddModelError(string.Empty, error.Description);
            }
        }
    }
    return View(changeUserViewModel);
}

额外注意事项 #

• 替换.Result为await：异步操作使用.Result可能导致死锁，必须用await并将方法改为async Task<ActionResult>。
• 增加确认密码验证：建议在ChangeUserViewModel中添加ConfirmPassword字段，并添加[Compare("NewPassword")]特性，确保两次输入密码一致。
• 验证用户存在性：加载用户后要判断是否为null，避免后续操作抛出空引用异常。

内容的提问来源于stack exchange，提问作者RCeyda