如何从ASP.NET Core Identity迁移？技术方案与注意事项咨询

先明确核心需求边界 #

你要保留ASP.NET Core框架、双因素认证（2FA），替换掉Identity的Razor Pages、存储/管理器、验证机制，同时兼容原密码校验逻辑——这是迁移的核心前提。

可行迁移路径 #

1. 直接复用Identity的密码校验逻辑 #

不用从零实现密码哈希验证，Identity的PasswordHasher<TUser>是独立组件，无需依赖整个Identity栈：

// 直接实例化PasswordHasher，无需绑定Identity用户类
var passwordHasher = new PasswordHasher<object>();
// 验证逻辑：dbHash是数据库存储的哈希值，inputPwd是用户输入的密码
var verifyResult = passwordHasher.VerifyHashedPassword(null, dbHash, inputPwd);
if (verifyResult == PasswordVerificationResult.Success)
{
    // 密码验证通过
}

只要数据库里的哈希是Identity默认生成的PBKDF2格式，就能直接用这个逻辑验证，无需修改现有用户数据。

2. 自定义身份认证体系替代Identity的管理器与存储 #

彻底摆脱EF耦合，自行实现用户存储和核心管理逻辑：

• 设计自定义用户实体：包含用户名、密码哈希、2FA密钥、SecurityStamp、是否启用2FA等必要字段（和原Identity表结构对齐能大幅降低迁移成本）
• 编写自定义UserService类，封装用户查询、密码验证、2FA密钥生成/验证等操作
• 对接ASP.NET Core的Cookie认证中间件，用ClaimsPrincipal构建用户身份，替代Identity的SignInManager

3. 独立实现双因素认证（2FA） #

Identity的2FA本质是TOTP算法，直接使用Microsoft.AspNetCore.Authentication.Totp包即可实现，完全不依赖Identity：

• 生成2FA密钥：

var totpOptions = new TotpSecurityStampBasedOptions();
var totpGenerator = new TotpSecurityStampBasedGenerator(totpOptions);
var userSecurityStamp = Guid.NewGuid().ToString(); // 存储到用户表
var totpSecretKey = totpGenerator.GenerateSecurityToken(userSecurityStamp);

• 验证2FA代码：

bool isCodeValid = totpGenerator.ValidateToken(userSecurityStamp, userInputCode);

注意保留原用户表中的SecurityStamp和TwoFactorEnabled字段，老用户的2FA设置可直接复用。

迁移必须注意的核心事项 #

• 数据兼容性优先：

  • 保留原用户表的密码哈希、2FA密钥、SecurityStamp等字段，绝对不能让用户重新设置密码或2FA
  • 如需调整表结构，先在测试环境完成全量数据迁移测试，确保数据无损

• 认证中间件配置调整：

  • 删除Startup/Program中的AddIdentity、AddDefaultIdentity相关代码，改用AddAuthentication().AddCookie()配置Cookie认证
  • 自定义IClaimsTransformation补充用户的角色、权限等Claims，替代Identity的默认Claims生成逻辑

• 权限控制的替代方案：

  • 之前使用[Authorize(Roles = "...")]的场景，自行实现角色/权限校验：可编写自定义IAuthorizationRequirement和AuthorizationHandler，或在Action中直接校验用户Claims

• 安全性不能打折：

  • 密码哈希继续使用PBKDF2或更安全的算法，禁止明文存储
  • 2FA密钥需加密存储，不能直接保存明文
  • 自行实现密码重置、账号锁定等安全功能，覆盖Identity原有能力

• 采用逐步迁移策略：

  • 先在测试环境搭建新认证体系，与原Identity并行运行，验证登录、2FA、权限等核心功能
  • 逐步替换业务代码中的Identity依赖：先替换登录验证逻辑，再替换用户管理页面，最后彻底移除Identity包

内容的提问来源于stack exchange，提问作者PeterLiguda