基于Identity Server 4的多租户身份认证扩展及技术疑问

已完成的实现 #

以下是当前已完成的多租户扩展代码：

1. 扩展Identity Role #

public class CustomRole : IdentityRole
{
    public CustomRole(string roleName, string description) : base(roleName)
    {
        Description = description;
    }

    public string Description { get; set; }
}

2. 扩展Identity User #

public class CustomUser : IdentityUser
{
    public string FirstName { get; set; }

    public string Surname { get; set; }

    public int TenantId { get; set; }
}

3. 定义Tenant实体 #

public class Tenant
{
    public int Id { get; set; }

    public string Name { get; set; }

    public string TenantCode { get; set; }

    // 其他扩展字段
}

4. 扩展SignInManager #

public class ApplicationSignInManager<TUser> : SignInManager<TUser> where TUser : CustomUser
{
    private readonly UserManager<TUser> userManager;
    private readonly ITenantService tenantService;

    public ApplicationSignInManager(UserManager<TUser> userManager,
                                    IHttpContextAccessor contextAccessor,
                                    IUserClaimsPrincipalFactory<TUser> claimsFactory,
                                    IOptions<IdentityOptions> optionsAccessor,
                                    ILogger<SignInManager<TUser>> logger,
                                    IAuthenticationSchemeProvider schemes,
                                    IUserConfirmation<TUser> confirmation,
                                    ITenantService tenantService) :
        base(userManager,
             contextAccessor,
             claimsFactory,
             optionsAccessor,
             logger,
             schemes,
             confirmation)
    {
        this.userManager = userManager ?? throw new ArgumentNullException(nameof(userManager));
        this.tenantService = tenantService ?? throw new ArgumentNullException(nameof(tenantService));
    }

    public async Task<SignInResult> PasswordSignInAsync(string tenantCode, string userName, string password, bool isPersistent, bool lockoutOnFailure)
    {
        var tenant = await tenantService.GetByCodeAsync(tenantCode);

        if (tenant.HasNoValue)
            return SignInResult.Failed;

        var user = await userManager.FindByNameAsync(userName);

        if (user == null)
            return SignInResult.Failed;

        if (user.TenantId == tenant.Value.Id)
            return await PasswordSignInAsync(userName, password, isPersistent, lockoutOnFailure);
        else
            return SignInResult.Failed;
    }
}

5. 注册自定义服务 #

builder.Services.AddDbContext<ApplicationDbContext>(options =>
    options.UseSqlServer(builder.Configuration.GetConnectionString("DefaultConnection")));

builder.Services.AddIdentity<CustomUser, CustomRole>()
    .AddEntityFrameworkStores<ApplicationDbContext>()
    .AddSignInManager<ApplicationSignInManager<CustomUser>>()
    .AddDefaultTokenProviders();

疑问解答 #

1. 适配不同应用的租户实体差异化需求 #

通过基类继承+EF核心继承策略实现灵活适配：

• 定义抽象基类BaseTenant，包含所有应用共享的字段（Id、Name、TenantCode）；
• 每个应用创建专属Tenant类继承BaseTenant，添加自身需要的字段（比如应用2的Address）；
• 在EF Core中配置继承存储策略：
  • TPH（表每层次）：所有租户实体存同一张表，通过Discriminator字段区分类型；
  • TPT（表每类型）：基类字段存主表，子类专属字段存关联表；
• 将DbContext改为泛型，接收具体Tenant类型，比如ApplicationDbContext<TTenant> : IdentityDbContext<CustomUser, CustomRole, string>，不同应用注入对应DbContext即可。

2. 用户实体的差异化扩展需求 #

两种实用方案可选：

• 继承扩展：定义BaseCustomUser : IdentityUser包含共享字段（FirstName、Surname、TenantId），各应用的AppCustomUser继承它添加专属字段（年龄、旧地址等），用EF的TPH/TPT策略存储；
• 组合模式：保留基础CustomUser，新增UserProfile实体通过UserId关联用户，每个应用的UserProfile可自定义扩展字段。这种方式无需修改核心用户实体，灵活性更高，适合扩展字段频繁变化的场景。

3. 租户自主创建本系统用户 #

核心是权限校验+数据隔离：

• 开放用户管理API（CreateUser、UpdateUser等），API层先从Claims中获取当前用户的TenantId，校验要创建的用户TenantId与当前用户一致；
• 给租户管理员分配TenantAdmin专属角色，在API或Action上添加[Authorize(Roles = "TenantAdmin")]限制操作权限；
• 扩展UserManager，重写CreateAsync方法，强制校验创建用户的TenantId必须与当前操作用户的TenantId匹配，防止越权；
• 数据库层面添加行级安全策略（RLS），限制每个租户只能访问自身数据，作为最后一道安全防线。

4. 部署方案选择与最优方案 #

三种主流方案对比：

最优方案：采用共享数据库共享表+模块化扩展，结合前面的基类/泛型适配不同应用的实体需求，同时通过行级安全、权限校验保证数据隔离。该方案既节省运维成本，又能灵活适配差异化需求，无需为每个应用部署独立实例。

内容的提问来源于stack exchange，提问作者Sun