.NET Core Identity中无需重新登录即时更新用户角色的实现方案

.NET Core Identity 默认会在用户登录时，将用户所属角色、个人声明等身份信息加密写入认证凭证（Cookie/Token），后续请求的权限校验会直接读取凭证内存储的信息，不会实时查询数据库。修改数据库中用户角色关联数据后，当前会话持有的还是旧凭证，自然要等重新登录生成新凭证时才会加载最新角色。

根据业务场景选择对应方案即可：

场景1：当前登录用户修改自身角色（即你贴出代码的场景） #

直接在角色增删操作执行成功后，调用SignInManager提供的RefreshSignInAsync方法，系统会立刻为当前用户重新生成包含最新角色信息的认证凭证，全程不需要用户手动退出重登。
首先确保你已经在对应服务/控制器中注入了SignInManager<TUser>实例，修改业务代码如下：

string UserID = User.FindFirstValue(ClaimTypes.NameIdentifier);
var user = await _userManager.FindByIdAsync(UserID);
var roles = await _userManager.GetRolesAsync(user);

if (User.IsInRole(Roles.niveau1.ToString()))
{
    List<string> lstRolesASupprimer = new() { Roles.niveau1.ToString() };
    List<string> lstRolesAAjouter = new() { Roles.niveau2.ToString() };
    
    var removeResult = await _userManager.RemoveFromRolesAsync(user, lstRolesASupprimer);
    if (!removeResult.Succeeded)
    {
        // 自行处理删除角色失败逻辑，比如返回错误提示
        return BadRequest(removeResult.Errors);
    }
    
    var addResult = await _userManager.AddToRolesAsync(user, lstRolesAAjouter);
    if (addResult.Succeeded)
    {
        // 刷新当前用户登录凭证，写入最新角色声明，权限即时生效
        await _signInManager.RefreshSignInAsync(user);
    }
    else
    {
        // 自行处理添加角色失败逻辑
        return BadRequest(addResult.Errors);
    }
}

场景2：管理员修改其他用户角色，无法直接触发对应用户的凭证刷新 #

这种场景可以通过配置Cookie认证的校验事件，在用户每次发起请求时自动校验身份信息是否有更新，发现变更时自动重新签发凭证，不需要用户手动重登。
在Program.cs的服务配置段添加如下配置：

// 放在AddIdentity/AddDefaultIdentity相关配置之后即可
services.ConfigureApplicationCookie(options =>
{
    options.Events = new CookieAuthenticationEvents
    {
        OnValidatePrincipal = async context =>
        {
            var userManager = context.HttpContext.RequestServices
                .GetRequiredService<UserManager<IdentityUser>>();
            var signInManager = context.HttpContext.RequestServices
                .GetRequiredService<SignInManager<IdentityUser>>();
            
            var userId = context.Principal?.FindFirstValue(ClaimTypes.NameIdentifier);
            if (string.IsNullOrEmpty(userId))
            {
                context.RejectPrincipal();
                return;
            }
            
            var user = await userManager.FindByIdAsync(userId);
            if (user == null)
            {
                context.RejectPrincipal();
                return;
            }

            // 校验安全戳：用户角色变更、密码修改、安全信息更新时，安全戳会自动刷新
            var currentStamp = context.Principal.FindFirstValue(ClaimTypes.SecurityStamp);
            var actualStamp = await userManager.GetSecurityStampAsync(user);
            if (currentStamp != actualStamp)
            {
                // 信息有更新，重新生成包含最新角色的身份凭证
                var newPrincipal = await signInManager.CreateUserPrincipalAsync(user);
                context.ReplacePrincipal(newPrincipal);
                context.ShouldRenew = true;
            }
        }
    };
});

注意：这个方案每次请求都会触发一次数据库查询读取用户安全戳，如果系统访问量较高，可以给安全戳查询加短周期缓存，或者调整校验频率（比如每1分钟校验一次），平衡实时性和性能。

如果你用的是JWT Token认证而非默认的Cookie认证，上述刷新凭证的逻辑不适用：JWT本身是无状态的，签发后无法主动作废，要实现角色即时生效，要么缩短JWT有效期、配合RefreshToken机制在刷新Token时加载最新角色，要么在请求校验环节增加实时角色校验逻辑。

内容的提问来源于stack exchange，提问作者SylvainKrier