ASP.NET Core 6中删除用户/修改角色后如何即时撤销claim与token？

1. 修改用户角色后，是否存在撤销其claim或token的方法？ #

• JWT令牌场景：JWT本身无状态且不可篡改，无法直接撤销已签发的token，但可通过间接方式实现：
  • 维护令牌黑名单（用Redis或内存缓存存储失效的token ID/哈希值），每次验证token时先检查黑名单，若存在则拒绝请求。修改角色时将用户当前有效token加入黑名单即可。
  • 缩短token过期时间，配合refresh token机制，撤销refresh token来阻止用户获取新的访问token，缩小权限变更后的风险窗口。
• Cookie认证（ASP.NET Core Identity）场景：
  • 调用SignOutAsync()强制用户登出，直接清除客户端认证Cookie。
  • 更新用户的SecurityStamp值，Identity框架会自动检测到变更，在用户下次请求时强制重新验证身份，加载新的claims。
• Claim相关说明：已包含在token或Cookie中的claim无法直接修改/撤销，只能通过上述方式让旧凭证失效，引导用户重新获取含新权限的凭证。

2. 除Entity Framework默认的基于claim的授权外，可即时收回用户访问权限的替代方案 #

• 实时权限校验中间件：编写自定义中间件，在每个请求到达时，直接查询缓存或数据库中的用户当前权限/角色，判断是否允许访问目标资源。
• 基于资源的动态授权：使用ASP.NET Core的资源授权策略，在IAuthorizationHandler中实时校验用户对特定资源的权限，而非依赖预加载的claims。
• 分布式会话存储：将用户权限信息存储在Redis等分布式会话中，需收回权限时直接删除或更新会话中的权限数据，下次请求读取最新内容。
• 角色/权限状态标记：在用户或角色表新增IsActive状态字段，授权时先校验该状态，一旦标记为禁用，立即拒绝访问。
• OAuth2令牌撤销机制：若使用IdentityServer等认证服务，可调用令牌撤销端点，主动作废用户的访问令牌和刷新令牌。

3. 无需过多数据库调用即可实现即时收回权限的最优方案 #

最优方案是缓存+主动失效的组合，兼顾性能与即时性：

• 分布式缓存（Redis）方案：以用户ID为键，将用户的角色、权限列表存入Redis，设置5-15分钟的过期时间。权限变更时，主动删除或更新对应缓存键，大部分请求直接读缓存，仅在缓存失效或权限变更时查询数据库。
• 内存缓存（单服务器场景）：单服务器部署时，用IMemoryCache存储权限数据，权限变更时主动清除缓存，性能比分布式缓存更高，但不适用于多服务器集群。
• SecurityStamp+缓存联动：结合Identity的SecurityStamp，将用户权限缓存与SecurityStamp绑定，当SecurityStamp更新时自动失效对应缓存条目，下次请求重新加载权限并缓存。
• 令牌黑名单缓存：将失效token存入缓存（设置与token剩余过期时间一致的缓存过期时间），验证token时直接查缓存，无需持久化黑名单数据，查询速度远快于数据库。

内容的提问来源于stack exchange，提问作者PETKII