如何在不依赖ASP.NET Core Identity时将IdentityServer4对接自定义用户dbo表？

嘿，这个需求我太熟了——好多遗留系统都不想动现成的用户表结构，IdentityServer4完全支持对接自定义数据源，我给你一步步拆解怎么做：

1. 实现IResourceOwnerPasswordValidator接口（核心密码验证逻辑） #

这个接口是IdentityServer4用来处理**密码模式（Resource Owner Password）**验证的入口，你需要自己写实现类，在里面对接你的自定义dbo表做验证。

public class CustomResourceOwnerPasswordValidator : IResourceOwnerPasswordValidator
{
    // 注入你自己写的用户服务（用来操作数据库）
    private readonly ICustomUserService _userService;

    public CustomResourceOwnerPasswordValidator(ICustomUserService userService)
    {
        _userService = userService;
    }

    public async Task ValidateAsync(ResourceOwnerPasswordValidationContext context)
    {
        // 从请求上下文里拿到前端传的用户名和密码
        var username = context.UserName;
        var password = context.Password;

        // 调用你的自定义服务，去数据库验证用户密码
        var user = await _userService.ValidateUserCredentialsAsync(username, password);

        if (user != null)
        {
            // 验证通过：设置验证结果，要包含用户唯一标识（SubjectId）和自定义Claims
            context.Result = new GrantValidationResult(
                subject: user.Id.ToString(),
                authenticationMethod: "custom_password",
                claims: MapUserToClaims(user)
            );
        }
        else
        {
            // 验证失败：返回错误提示
            context.Result = new GrantValidationResult(TokenRequestErrors.InvalidGrant, "用户名或密码错误");
        }
    }

    // 把你的自定义用户对象转成IdentityServer需要的Claims集合
    private IEnumerable<Claim> MapUserToClaims(CustomUser user)
    {
        var claims = new List<Claim>
        {
            new Claim(JwtClaimTypes.Subject, user.Id.ToString()),
            new Claim(JwtClaimTypes.Name, user.FullName),
            new Claim(JwtClaimTypes.Email, user.Email),
            // 这里可以加你的自定义角色/权限，比如从角色表查出来的角色名
            new Claim(JwtClaimTypes.Role, user.RoleName)
        };
        return claims;
    }
}

重点注意：密码验证逻辑必须和你遗留系统的加密方式完全一致——比如如果系统用BCrypt加盐存储，就用BCrypt.Net.BCrypt.Verify验证；如果是MD5加盐，就要用相同的盐和算法去校验，绝对不能直接比较明文密码。

2. 实现IProfileService接口（可选但推荐） #

这个接口用来在生成Token或调用用户信息端点时，补充用户的额外Claims信息（比如角色、部门、权限等），还能用来判断用户是否处于激活状态。

public class CustomProfileService : IProfileService
{
    private readonly ICustomUserService _userService;

    public CustomProfileService(ICustomUserService userService)
    {
        _userService = userService;
    }

    public async Task GetProfileDataAsync(ProfileDataRequestContext context)
    {
        // 从Token里拿到用户的唯一标识（SubjectId）
        var userIdStr = context.Subject.FindFirst(JwtClaimTypes.Subject)?.Value;
        if (!string.IsNullOrEmpty(userIdStr) && int.TryParse(userIdStr, out var userId))
        {
            // 去数据库查用户的完整信息
            var user = await _userService.GetUserByIdAsync(userId);
            if (user != null)
            {
                // 把用户的Claims添加到响应里
                context.IssuedClaims = MapUserToClaims(user);
            }
        }
    }

    public async Task IsActiveAsync(IsActiveContext context)
    {
        // 验证用户是否处于可用状态（比如没被禁用、没被删除）
        var userIdStr = context.Subject.FindFirst(JwtClaimTypes.Subject)?.Value;
        if (!string.IsNullOrEmpty(userIdStr) && int.TryParse(userIdStr, out var userId))
        {
            var user = await _userService.GetUserByIdAsync(userId);
            context.IsActive = user?.IsActive ?? false;
        }
        else
        {
            context.IsActive = false;
        }
    }

    private IEnumerable<Claim> MapUserToClaims(CustomUser user)
    {
        var claims = new List<Claim>
        {
            new Claim(JwtClaimTypes.Subject, user.Id.ToString()),
            new Claim(JwtClaimTypes.Name, user.FullName),
            new Claim(JwtClaimTypes.Email, user.Email),
            new Claim(JwtClaimTypes.Role, user.RoleName)
        };
        // 可以添加更多自定义字段，比如部门ID
        claims.Add(new Claim("department_id", user.DepartmentId.ToString()));
        return claims;
    }
}

3. 把自定义服务注册到DI容器 #

在你的Program.cs（.NET 6+）或Startup.cs里，把刚才写的服务和IdentityServer4一起注册，注意不要调用AddAspNetIdentity（因为我们不用官方的Identity）。

// 注册你的自定义用户服务
builder.Services.AddScoped<ICustomUserService, CustomUserService>();
// 注册自定义密码验证器
builder.Services.AddScoped<IResourceOwnerPasswordValidator, CustomResourceOwnerPasswordValidator>();
// 注册自定义Profile服务
builder.Services.AddScoped<IProfileService, CustomProfileService>();

// 配置IdentityServer4
builder.Services.AddIdentityServer()
    .AddInMemoryApiResources(Config.GetApiResources()) // 替换成你的API资源配置
    .AddInMemoryClients(Config.GetClients()) // 替换成你的客户端配置
    .AddInMemoryIdentityResources(Config.GetIdentityResources())
    .AddDeveloperSigningCredential(); // 生产环境一定要换成正式证书（比如从Azure Key Vault加载）

4. 实现你的自定义用户服务ICustomUserService #

这部分就是你操作dbo表的核心逻辑，用EF Core、Dapper或者原生ADO.NET都可以，只要能查询用户、验证密码就行。

比如用EF Core的例子：

public interface ICustomUserService
{
    Task<CustomUser> ValidateUserCredentialsAsync(string username, string password);
    Task<CustomUser> GetUserByIdAsync(int userId);
}

public class CustomUserService : ICustomUserService
{
    private readonly YourLegacyDbContext _dbContext;

    public CustomUserService(YourLegacyDbContext dbContext)
    {
        _dbContext = dbContext;
    }

    public async Task<CustomUser> ValidateUserCredentialsAsync(string username, string password)
    {
        // 从你的用户表查询用户
        var user = await _dbContext.CustomUsers
            .FirstOrDefaultAsync(u => u.Username == username);

        if (user == null)
            return null;

        // 这里用BCrypt验证，替换成你系统的加密方式
        if (!BCrypt.Net.BCrypt.Verify(password, user.PasswordHash))
            return null;

        return user;
    }

    public async Task<CustomUser> GetUserByIdAsync(int userId)
    {
        // 可以关联角色表一起查询
        return await _dbContext.CustomUsers
            .Include(u => u.Role)
            .FirstOrDefaultAsync(u => u.Id == userId);
    }
}

5. 配置客户端支持密码模式 #

确保你的IdentityServer4客户端配置里，允许使用password授权类型：

public static IEnumerable<Client> GetClients()
{
    return new List<Client>
    {
        new Client
        {
            ClientId = "your_app_client_id",
            ClientSecrets = { new Secret("your_client_secret".Sha256()) },
            
            // 开启密码模式
            AllowedGrantTypes = GrantTypes.ResourceOwnerPassword,
            
            // 允许访问的API范围
            AllowedScopes = { "your_api_scope" },
            
            // 允许刷新Token
            AllowOfflineAccess = true
        }
    };
}

最后几个注意事项 #

• 生产环境安全：绝对不要用AddDeveloperSigningCredential，要使用正式的SSL证书，比如从证书存储或者密钥管理服务加载。
• Claims精简：不要把无关的用户信息放到Claims里，避免Token体积过大。
• 用户状态同步：如果你的系统有用户禁用、删除的逻辑，一定要在IProfileService的IsActiveAsync方法里处理，防止无效用户获取Token。

内容的提问来源于stack exchange，提问作者Luke1988