本地开发.NET 6 Lambda REST API时，可替代AWS Cognito的身份提供商选型

针对你的.NET 6 Lambda REST API本地开发场景，推荐以下几种可替代AWS Cognito的身份提供商方案，适配RBAC需求：

1. ASP.NET Core Identity #

这是.NET生态原生的身份认证框架，完全适配本地开发需求：

• 直接与你的.NET 6 API无缝集成，无需额外依赖外部服务
• 支持完整的RBAC功能，可通过AddRoles<T>配置角色管理，关联用户与角色
• 可复用本地PostgreSQL数据库存储用户、角色、权限数据，也可单独创建数据库表结构
• 开发阶段可以快速创建测试用户、角色，直接在API中验证权限逻辑，无需对接外部服务

使用时只需在Program.cs中配置身份服务，搭配EF Core连接本地PostgreSQL，示例代码片段：

builder.Services.AddDbContext<AppDbContext>(options =>
    options.UseNpgsql(builder.Configuration.GetConnectionString("LocalPostgres")));

builder.Services.AddIdentity<ApplicationUser, IdentityRole>()
    .AddEntityFrameworkStores<AppDbContext>()
    .AddDefaultTokenProviders();

// 启用RBAC授权
builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("AdminOnly", policy => policy.RequireRole("Admin"));
});

2. LocalStack（模拟AWS Cognito） #

如果你希望本地开发环境尽可能贴近线上Cognito的使用方式，LocalStack是最佳选择：

• 可以在本地Docker容器中运行，模拟完整的AWS服务栈，包括Cognito用户池、身份池
• API代码无需大幅修改，只需将AWS SDK的端点指向LocalStack本地地址（默认http://localhost:4566）
• 支持创建用户池、用户、角色、权限规则，完全兼容Cognito的API接口，本地测试逻辑和线上一致
• 适合需要验证Cognito特定功能（如JWT令牌解析、身份池授权）的场景

启动LocalStack后，可通过AWS CLI或LocalStack CLI创建Cognito用户池，示例命令：

awslocal cognito-idp create-user-pool --pool-name local-dev-pool

3. Keycloak #

如果你需要更灵活的身份管理功能，Keycloak是开源的企业级身份提供商：

• 支持OAuth2、OpenID Connect协议，与Cognito的认证流程类似，可生成符合标准的JWT令牌
• 内置RBAC管理，可创建用户、角色、权限组，细粒度控制API访问权限
• 可通过Docker快速在本地部署，无需复杂配置，提供可视化管理界面
• 适合需要多租户、社交登录等进阶功能的场景

本地部署后，只需在API中配置JWT验证中间件，指向Keycloak的令牌颁发端点即可完成集成。

内容的提问来源于stack exchange，提问作者ZedZip