基于ASP.NET Core Identity实现管理员与终端用户的方案咨询

1. 是否将两类用户存储在同一AspNetUser表中？ #

两种方案各有适用场景，按需选择：

• 单表存储（TPH继承映射）：这是EF Core默认的继承处理方式，会自动在AspNetUser表生成Discriminator字段，用来区分AdminUserDataModel和EndUserDataModel。优点是共享Identity基础字段（Id、UserName、Email等），查询和维护成本低，适合两类用户差异不大的场景。你的当前代码已经采用这种模式，EF Core会自动完成表结构适配。
• 分表存储：如果两类用户有大量专属字段，或业务上需要完全隔离数据，可以拆分到独立表中。但这种方式需要额外配置EF Core映射规则，且要维护两套Identity服务，复杂度更高。

优先推荐单表存储，除非有明确的强隔离业务需求。

2. 用声明（Claims）还是鉴别器（Discriminator）区分用户？ #

两者并非互斥，建议结合使用：

• Discriminator：用于数据层区分，是EF Core实体映射的一部分，确保数据库能精准识别用户类型，适合数据查询、统计等场景。
• Claims：用于身份验证与授权层区分，在用户登录时添加用户类型声明（比如new Claim("UserType", "Admin")），后续可通过User.Claims快速判断用户类型，或在授权策略中直接使用。

示例：创建Admin用户时添加声明

var admin = new AdminUserDataModel { UserName = "admin@example.com", Email = "admin@example.com" };
await userManager.CreateAsync(admin, "Password123!");
await userManager.AddClaimAsync(admin, new Claim("UserType", "Admin"));

3. 配置Authorize特性，跳转不同登录页 #

要实现不同用户类型跳转对应登录页，需为两类用户配置独立的Authentication Scheme，并分别指定登录路径：

步骤1：配置多Identity Scheme #

修改Program.cs，为Admin和终端用户设置专属Scheme及Cookie规则：

// 配置Admin身份验证体系
builder.Services.AddIdentity<AdminUserDataModel, IdentityRole>(options =>
{
    options.SignIn.RequireConfirmedAccount = true;
})
.AddEntityFrameworkStores<ApplicationUserContext>()
.AddDefaultTokenProviders()
.AddCookie("AdminIdentity", options =>
{
    options.LoginPath = "/Admin/Login"; // Admin登录页路径
    options.AccessDeniedPath = "/Admin/AccessDenied";
});

// 配置终端用户身份验证体系
builder.Services.AddIdentityCore<EndUserDataModel>(options =>
{
    options.SignIn.RequireConfirmedAccount = true;
})
.AddRoles<IdentityRole>()
.AddEntityFrameworkStores<ApplicationUserContext>()
.AddDefaultTokenProviders()
.AddCookie("EndUserIdentity", options =>
{
    options.LoginPath = "/Account/Login"; // 终端用户登录页路径
    options.AccessDeniedPath = "/Account/AccessDenied";
});

步骤2：在Authorize特性中指定Scheme #

Admin控制器/Action绑定Admin专属Scheme：

[Authorize(AuthenticationSchemes = "AdminIdentity")]
public class AdminController : Controller
{
    // Admin业务操作
}

终端用户控制器/Action绑定终端用户Scheme：

[Authorize(AuthenticationSchemes = "EndUserIdentity")]
public class AccountController : Controller
{
    // 终端用户业务操作
}

步骤3：登录时使用对应Scheme #

Admin登录逻辑中指定使用"AdminIdentity"：

public async Task<IActionResult> Login(LoginModel model)
{
    var result = await _adminSignInManager.PasswordSignInAsync(model.UserName, model.Password, model.RememberMe, lockoutOnFailure: false);
    if (result.Succeeded)
    {
        return RedirectToAction("Index", "Admin");
    }
    // 处理登录失败逻辑
    return View(model);
}

终端用户登录同理，使用对应SignInManager和Scheme即可。

可选：全局自动判断跳转 #

如果希望根据请求路径自动匹配登录页，可自定义授权结果处理器：

public class CustomAuthorizationHandler : IAuthorizationMiddlewareResultHandler
{
    private readonly AuthorizationMiddlewareResultHandler _defaultHandler = new();

    public async Task HandleAsync(RequestDelegate next, HttpContext context, AuthorizationPolicy policy, PolicyAuthorizationResult authorizeResult)
    {
        if (authorizeResult.Challenged)
        {
            if (context.Request.Path.StartsWithSegments("/Admin"))
            {
                context.Response.Redirect("/Admin/Login");
                return;
            }
            context.Response.Redirect("/Account/Login");
            return;
        }
        await _defaultHandler.HandleAsync(next, context, policy, authorizeResult);
    }
}

在Program.cs中注册该处理器：

builder.Services.AddSingleton<IAuthorizationMiddlewareResultHandler, CustomAuthorizationHandler>();

内容的提问来源于stack exchange，提问作者user2127521