ASP.NET Core 6+IdentityServer4中UserManager做CRUD是否最优及授权问题

一、UserManager vs 直接操作DbContext，哪种方式更优？ #

优先使用**UserManager**处理用户CRUD操作，原因如下：

• 封装Identity核心安全逻辑：自动处理密码哈希存储、用户验证规则、令牌生成（如重置密码令牌）、角色/权限管理等，避免手动操作DbContext时出现的安全漏洞（比如明文存密码）。
• 符合框架设计规范：提供统一的用户操作接口，后续扩展自定义用户属性时，代码无需大幅修改，维护性更强。
• 内置错误处理：CreateAsync、AddClaimsAsync等方法返回IdentityResult，自动处理用户名重复、密码强度不足等业务错误，无需自行编写判断逻辑。

直接操作DbContext仅适用于少数复杂自定义查询场景，常规用户CRUD完全没必要绕开UserManager。

二、[Authorize]特性无法生效的解决方法 #

问题核心是API未配置正确的JWT认证规则：你的项目用IdentityServer4做授权服务器，API需要验证IdentityServer签发的JWT令牌，但默认AddIdentity仅启用Cookie认证，无法识别JWT令牌。

修复步骤： #

1. 在Program.cs中添加JWT认证配置：
   保留现有AddIdentity配置的同时，添加JWTBearer认证方案：

   using Microsoft.AspNetCore.Authentication.JwtBearer;
   using Microsoft.IdentityModel.Tokens;
   
   // 配置认证服务
   builder.Services.AddAuthentication(options =>
   {
       options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
       options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
   })
   .AddJwtBearer(options =>
   {
       // IdentityServer4的部署地址
       options.Authority = "https://your-identityserver-domain";
       // API资源名称（需提前在IdentityServer中配置）
       options.Audience = "your-api-resource-name";
       options.RequireHttpsMetadata = true; // 生产环境必须设为true
   
       options.TokenValidationParameters = new TokenValidationParameters
       {
           ValidateIssuer = true,
           ValidateAudience = true,
           ValidateLifetime = true,
           ValidateIssuerSigningKey = true
       };
   });
   
   // 你的现有配置
   builder.Services.AddTransient<IAccUserRepon, AccUserRepon>(); 
   builder.Services.AddIdentity<IdentityUser, IdentityRole>()     
                   .AddEntityFrameworkStores<AspNetIdentityDbContext>()
                   .AddDefaultTokenProviders();
   

2. 确保中间件顺序正确：
   在Program.cs的应用构建部分，必须先启用认证，再启用授权：

   app.UseAuthentication(); // 必须在UseAuthorization之前
   app.UseAuthorization();
   
   // 其他中间件（如UseRouting、UseEndpoints等）
   

3. 可选：指定[Authorize]的认证方案：
   若系统存在多种认证方案，可在特性中明确指定JWT方案：

   [Authorize(AuthenticationSchemes = JwtBearerDefaults.AuthenticationScheme)]
   

额外注意点： #

• 确认IdentityServer4中已正确配置对应API资源（Audience参数需与配置一致）。
• 确认请求时在Header中携带正确的Authorization: Bearer {token}令牌。

附：你的相关代码 #

Program.cs #

builder.Services.AddTransient<IAccUserRepon, AccUserRepon>(); 
builder.Services.AddIdentity<IdentityUser, IdentityRole>()     
                .AddEntityFrameworkStores<AspNetIdentityDbContext>()
                .AddDefaultTokenProviders();

AccUserController.cs #

[HttpPost]
[Authorize]
public async Task<IActionResult> CreateAccUser([FromBody] CreateAccUser createAccUser) 
{
    Console.WriteLine("vui");

    var result = await _accUserRepon.AccUserCreate(createAccUser);

    if (result.Succeeded) 
    {
        return Ok(1);
    }
    else 
    { 
        return Ok(result); 
    }

    return Ok("vyi");
}

AccUserRepon.cs #

public class AccUserRepon : IAccUserRepon
{
    private readonly AspNetIdentityDbContext _aspNetIdentityDbContext;
    private readonly UserManager<IdentityUser> _userManager;

    public AccUserRepon(AspNetIdentityDbContext context, UserManager<IdentityUser> userManager)
    {
        _aspNetIdentityDbContext = context;
        _userManager = userManager;
    }

    public async Task<IdentityResult> AccUserCreate(CreateAccUser createAccUser)
    {
        IdentityUser user = new IdentityUser
                                {
                                    Email = createAccUser.Email,
                                    UserName = createAccUser.UserName
                                };
        IdentityResult result = null;

        try 
        {
            result = await _userManager.CreateAsync(user, createAccUser.Password);

            if (result.Succeeded)
            {
                // 修复：用await替代.Result避免线程阻塞
                result = await _userManager.AddClaimsAsync(user, new Claim[]
                                      {
                                          new Claim(JwtClaimTypes.Name, createAccUser.UserName + " " + createAccUser.LastName),
                                          new Claim(JwtClaimTypes.GivenName, createAccUser.UserName),
                                          new Claim(JwtClaimTypes.FamilyName, createAccUser.LastName),
                                          new Claim(JwtClaimTypes.WebSite, "http://"+createAccUser.UserName + createAccUser.LastName+".com"),
                                          new Claim("location", "somewhere")
                                       });
            }
        }
        catch (Exception ex) 
        {
            Console.WriteLine(ex.Message);
        }

        return result;            
    }
}

内容的提问来源于stack exchange，提问作者Long