在.NET Core中使用Identity框架无需旧密码和邮箱验证修改密码的方法？

因为你的应用是局域网内部应用，安全风险可控，直接调用Identity原生API即可实现需求，全程不需要旧密码、不需要邮箱验证流程，也不需要修改Identity的核心逻辑。

前置准备 #

确保操作该功能的账号已经被分配了管理员角色，接口层面必须加角色权限校验，避免越权操作。

核心实现逻辑 #

Identity内置的UserManager<TUser>提供了原生的密码重置相关方法，你只需要先生成目标用户的密码重置令牌，直接用该令牌调用重置方法即可，不需要把令牌发送给用户：

1. 注入UserManager实例，如果你用的是默认Identity用户，类型为UserManager<IdentityUser>，自定义用户则替换为对应的自定义类
2. 查询到需要重置密码的目标用户
3. 为目标用户生成密码重置令牌
4. 直接调用重置密码方法传入新密码

代码示例 #

/// <summary>
/// 管理员重置用户密码接口
/// </summary>
/// <param name="userId">要重置密码的用户ID</param>
/// <param name="newPassword">设置的新密码</param>
[HttpPost]
[Authorize(Roles = "Admin")] // 必须加管理员角色校验，不可省略
public async Task<IActionResult> AdminResetUserPassword(string userId, string newPassword)
{
    // 查询目标用户
    var targetUser = await _userManager.FindByIdAsync(userId);
    if (targetUser == null)
    {
        ModelState.AddModelError("", "目标用户不存在");
        return BadRequest(ModelState);
    }

    // 生成密码重置令牌，无需发送给用户
    var resetToken = await _userManager.GeneratePasswordResetTokenAsync(targetUser);

    // 执行重置操作
    var resetResult = await _userManager.ResetPasswordAsync(targetUser, resetToken, newPassword);
    if (resetResult.Succeeded)
    {
        return Ok("密码重置成功");
    }

    // 处理错误信息，比如密码不符合复杂度要求
    foreach (var error in resetResult.Errors)
    {
        ModelState.AddModelError("", error.Description);
    }
    return BadRequest(ModelState);
}

可选配置调整 #

如果默认的密码重置令牌有效期太短，可以在Program.cs中自定义有效期：

builder.Services.Configure<DataProtectionTokenProviderOptions>(options =>
{
    // 按需设置令牌有效期，这里设置为1小时
    options.TokenLifespan = TimeSpan.FromHours(1);
});

注意事项 #

• 新密码会自动校验Identity配置的密码规则（长度、是否包含特殊字符等），如果需要修改规则可以在AddIdentity的配置项中调整
• 该方案完全使用Identity官方公开API实现，兼容性高，后续版本升级不会出现兼容性问题
• 即使是内网应用也不要省略管理员权限校验，避免未授权用户调用该接口

内容的提问来源于stack exchange，提问作者Kishore Kumer