ASP.NET Core 3.1 Identity：修改用户角色后如何立即强制其退出？

以下是几个兼顾实时性和性能的可行方案，你可以根据自身场景选择：

方案一：自定义安全戳验证逻辑，结合本地/分布式缓存 #

默认的SecurityStampValidator每次验证都会直接查询数据库，我们可以修改逻辑，把安全戳缓存起来，设置一个较短的过期时间（比如1分钟），平衡实时性和性能消耗：

1. 在Startup.cs的ConfigureServices中替换默认的安全戳验证服务：

services.AddScoped<ISecurityStampValidator, CachedSecurityStampValidator>();

services.Configure<SecurityStampValidatorOptions>(options =>
{
    // 可保持默认30分钟或设为0，实际验证频率由缓存过期时间控制
    options.ValidationInterval = TimeSpan.FromMinutes(0);
});

2. 实现自定义的CachedSecurityStampValidator：

public class CachedSecurityStampValidator : SecurityStampValidator<IdentityUser>
{
    private readonly IDistributedCache _cache;
    private readonly TimeSpan _cacheExpiration = TimeSpan.FromMinutes(1);

    public CachedSecurityStampValidator(IOptions<SecurityStampValidatorOptions> options, 
        SignInManager<IdentityUser> signInManager, 
        ILoggerFactory loggerFactory,
        IDistributedCache cache) 
        : base(options, signInManager, loggerFactory)
    {
        _cache = cache;
    }

    protected override async Task<bool> ValidateSecurityStampAsync(ClaimsPrincipal principal)
    {
        var userId = principal.FindFirstValue(ClaimTypes.NameIdentifier);
        if (string.IsNullOrEmpty(userId))
            return false;

        var cacheKey = $"SecurityStamp_{userId}";
        var cachedStamp = await _cache.GetStringAsync(cacheKey);

        // 先查缓存，缓存不存在或过期时再查数据库
        if (cachedStamp == null)
        {
            var user = await SignInManager.UserManager.FindByIdAsync(userId);
            if (user == null)
                return false;

            var currentStamp = await SignInManager.UserManager.GetSecurityStampAsync(user);
            await _cache.SetStringAsync(cacheKey, currentStamp, new DistributedCacheEntryOptions
            {
                AbsoluteExpirationRelativeToNow = _cacheExpiration
            });
            cachedStamp = currentStamp;
        }

        // 对比当前Cookie中的安全戳和缓存/数据库中的值
        var principalStamp = principal.FindFirstValue("AspNet.Identity.SecurityStamp");
        return string.Equals(principalStamp, cachedStamp, StringComparison.Ordinal);
    }
}

当管理员调用UpdateSecurityStampAsync后，缓存会在1分钟内自动失效，用户下一次请求时就会触发验证并退出，同时避免了每请求查库的性能问题。

方案二：用缓存标记失效用户，通过中间件拦截请求 #

这个方案更轻量，仅在用户角色被移除时做标记，平时不影响正常请求：

1. 当管理员移除用户角色并更新安全戳后，把用户ID存入分布式缓存（标记为失效）：

// 角色移除逻辑完成后
await _userManager.UpdateSecurityStampAsync(user);
await _distributedCache.SetStringAsync($"InvalidatedUser_{user.Id}", "true", new DistributedCacheEntryOptions
{
    // 设置过期时间，比如和Session超时一致，或者更长
    AbsoluteExpirationRelativeToNow = TimeSpan.FromHours(24)
});

2. 编写一个中间件，检查每个请求的用户是否在失效列表中：

public class InvalidatedUserMiddleware
{
    private readonly RequestDelegate _next;
    private readonly IDistributedCache _cache;

    public InvalidatedUserMiddleware(RequestDelegate next, IDistributedCache cache)
    {
        _next = next;
        _cache = cache;
    }

    public async Task InvokeAsync(HttpContext context)
    {
        if (context.User.Identity.IsAuthenticated)
        {
            var userId = context.User.FindFirstValue(ClaimTypes.NameIdentifier);
            var isInvalidated = await _cache.GetStringAsync($"InvalidatedUser_{userId}");
            if (!string.IsNullOrEmpty(isInvalidated))
            {
                // 清除Cookie并跳转登录页
                await context.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
                context.Response.Redirect("/Account/Login");
                return;
            }
        }

        await _next(context);
    }
}

// 在Startup.cs的Configure中注册中间件（放在Authentication之后）
app.UseAuthentication();
app.UseMiddleware<InvalidatedUserMiddleware>();
app.UseAuthorization();

这个方案只有被标记的用户会触发缓存检查，正常用户请求完全不受影响，性能开销极小。

方案三：通过SignalR主动推送退出指令（适合实时性要求极高的场景） #

如果你的应用集成了SignalR，可以直接给目标用户发送消息，让前端主动执行退出操作：

1. 定义SignalR Hub：

public class UserSessionHub : Hub
{
    // 管理员调用此方法通知用户退出
    public async Task NotifyUserLogout(string userId)
    {
        await Clients.User(userId).SendAsync("ForceLogout");
    }
}

2. 管理员移除角色后，调用Hub推送消息：

// 注入IHubContext<UserSessionHub>
private readonly IHubContext<UserSessionHub> _hubContext;

// 角色移除逻辑完成后
await _userManager.UpdateSecurityStampAsync(user);
await _hubContext.Clients.User(user.Id).SendAsync("ForceLogout");

3. 前端页面监听SignalR消息并执行退出：

const connection = new signalR.HubConnectionBuilder()
    .withUrl("/userSessionHub")
    .build();

connection.on("ForceLogout", function () {
    // 调用退出接口或直接清除Cookie
    window.location.href = "/Account/Logout";
});

connection.start().catch(err => console.error(err.toString()));

这个方案能实现真正的即时退出，但需要前端配合，且依赖SignalR组件。

内容的提问来源于stack exchange，提问作者user3246250