ASP.NET Identity能否在非管理员登录态下校验管理员密码

ASP.NET Identity 完全可以实现你的需求，全程不需要退出当前数据录入角色用户的会话，可完整保留操作人溯源能力，不需要借助SignInManager做身份切换操作。

核心实现逻辑 #

你这个场景的本质是针对编辑操作增加管理员密码二次校验步骤，不需要替换当前登录用户的身份。

注意：不要调用SignInManager.PasswordSignInAsync这类会签发新认证凭据、覆盖当前登录会话的方法，这类方法会把当前登录用户切换为管理员，直接丢失录入员的操作人上下文，不符合你的审计要求。

具体实现步骤如下：

• 拦截编辑入口：给数据录入角色用户的编辑操作入口加校验逻辑，用户点击编辑时先弹出密码输入弹窗/跳转临时校验页，要求输入管理员账号密码。
• 独立完成密码校验：直接注入UserManager<IdentityUser>服务完成校验即可：
  1. 根据输入的管理员账号查询到对应的管理员用户实体
  2. 调用UserManager.CheckPasswordAsync(adminUser, inputAdminPassword)方法校验密码正确性，这个方法只会做密码哈希比对，完全不会修改当前HTTP上下文的登录状态，当前会话的登录用户始终是发起操作的录入员。
• 授予临时编辑权限：密码校验通过后，给当前会话添加短时效的临时授权标记，你可以任选一种实现方式：
  • 借助HttpContext.Session存储临时授权状态，设置10-15分钟的过期时间，同时记录允许编辑的记录ID，避免越权编辑其他记录
  • 给当前用户的身份添加临时Claim，标记已通过管理员校验、允许操作的记录范围
    之后在编辑视图、编辑提交接口处增加判断，只有携带有效临时授权标记的请求才允许放行。
• 操作审计正常落地：因为全程当前登录用户身份没有发生变化，你记录操作日志时直接从当前User上下文拿到的就是录入员账号，可准确定位操作责任人，不会出现审计记录错乱的问题。

参考学习方向 #

你可以查阅以下几类资料完成落地：

• UserManager<TUser>类中密码校验相关方法的用法
• ASP.NET Core 基于策略的授权、会话状态的基础用法
• 操作审计过滤器/中间件获取当前登录用户信息的实现方式

内容的提问来源于stack exchange，提问作者Alejandro Lara Gutiérrez