.NET Core 5 Identity调用RemoveFromRolesAsync报用户名无效

你遇到的报错和传入的角色参数、用户ID完全无关，本质是ASP.NET Identity的校验管道触发了全量用户实体校验，暴露了存量数据和配置规则不匹配的问题。
很多开发者遇到这个问题会误以为是角色名传错了，或者RemoveFromRolesAsync方法本身有bug，疯狂检查参数值，其实排查方向从一开始就错了：

1. 你之前调用的FindByIdAsync、GetRolesAsync都是纯读操作，不会触发UserManager内置的用户字段校验逻辑，所以哪怕从数据库查出来的用户实体本身的字段不符合校验规则，读操作阶段完全不会有报错。
2. RemoveFromRolesAsync属于会触发用户更新管道的操作——哪怕你实际只修改用户的角色关联关系，内部依然会把查到的整个用户实体，丢给全局配置的用户校验器做全量规则校验。
3. 报错里提到的xxx就是你数据库里当前用户的UserName字段实际存储的值，它不符合当前配置的用户名校验规则，所以在校验阶段直接抛出异常，根本没走到实际移除角色的数据库操作逻辑。

• 在调用RemoveFromRolesAsync之前，打印输出user.UserName的实际值，确认报错里提到的非法用户名是不是从这个字段读出来的——90%以上的场景这里就会发现值带了@、.、中文等非字母数字字符。
• 检查项目中AddIdentity/AddDefaultIdentity的配置段，找到UserOptions的默认配置：框架默认开启AllowOnlyAlphanumericUserNames = true，也就是强制要求用户名只能包含字母和数字，完全不支持邮箱、带下划线的用户名等常见业务场景。如果你是从老版本迁移的存量数据，之前没有这个校验规则，就会出现“读正常、写就炸”的情况。
• 排除自定义校验逻辑的干扰：如果你自己实现了自定义的IUserValidator<TUser>实现，检查内部是否误把其他字段（比如角色名、邮箱值）当成用户名做了格式校验，这类场景概率较低。

根据业务场景选择对应的处理方式：

• 业务需要支持邮箱格式用户名、含特殊字符的用户名：调整Identity的用户配置，关闭仅允许字母数字的强制校验，把需要支持的字符加入白名单，参考配置：

builder.Services.AddIdentity<IdentityUser, IdentityRole>(options =>
{
    // 自定义允许的用户名字符范围
    options.User.AllowedUserNameCharacters = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789-._@+";
    options.User.RequireUniqueEmail = true;
})
.AddEntityFrameworkStores<AppDbContext>();

注意：必须把AllowOnlyAlphanumericUserNames设为false，自定义的AllowedUserNameCharacters白名单才会生效，这个配置项默认是开启状态，很多开发者改了白名单不生效就是这个原因。

• 业务确实要求用户名仅支持字母数字：需要批量修正数据库中存量的非法用户名数据，把不符合规则的字符替换为合规值，确保用户实体本身可以通过校验管道的检查。
• 临时过渡方案：如果需要快速完成历史用户的角色批量调整，不想被存量数据的字段格式问题卡壳，可以临时在调用角色操作前，给UserManager的UserValidators集合清空，但这种方式会跳过所有用户字段校验，存在写入非法数据的风险，不适合长期在生产环境使用。

内容的提问来源于stack exchange，提问作者SteveB