集成内置用户认证与Code-First数据库：自定义对象关联问题

先纠正一个容易踩的命名误区：你现在用的AddressViewModel其实应该是实体类（对应数据库表），而非ViewModel（视图模型，用于控制器和视图间传递数据）。建议重命名为Address，避免混淆——ViewModel专门用来封装视图需要的展示数据即可。

1. 为什么ManageController里无法直接用Include？ #

问题不在Identity的安全限制，而是UserManager.GetUserAsync(User)的默认行为：它只会查询AspNetUsers表的基础字段，不会自动加载关联的实体（比如你的Address）。

要加载关联数据，你需要直接通过DbContext查询，而非依赖UserManager的默认方法。比如在ManageController里这么写：

private readonly ApplicationDbContext _context;
private readonly UserManager<ApplicationUser> _userManager;

// 构造函数注入依赖
public ManageController(ApplicationDbContext context, UserManager<ApplicationUser> userManager)
{
    _context = context;
    _userManager = userManager;
}

// 示例：获取当前用户及关联的Address
public async Task<IActionResult> MyProfile()
{
    var userId = User.FindFirstValue(ClaimTypes.NameIdentifier);
    var currentUser = await _context.Users
        .Include(u => u.Address) // 手动加载关联的Address
        .Include(u => u.PhotoGallery) // 加载PhotoGallery集合
        .FirstOrDefaultAsync(u => u.Id == userId);

    if (currentUser == null)
    {
        return NotFound();
    }

    // 把实体数据映射到视图模型再传给视图（推荐做法）
    var viewModel = new ManageProfileViewModel
    {
        FirstName = currentUser.FirstName,
        LastName = currentUser.LastName,
        City = currentUser.Address?.City,
        Country = currentUser.Address?.Country
    };

    return View(viewModel);
}

2. 正确配置自定义对象与ApplicationUser的关联 #

你的一对一关系配置还需要完善，EF Core需要明确的外键映射（因为ApplicationUser的主键是string类型的Id）：

修正Address实体类： #

namespace DBRelationsTesting.Models
{
    public class Address
    {
        [Key]
        public int AddressId { get; set; }
        public string City { get; set; }
        public string Country { get; set; }

        // 外键：关联到ApplicationUser的Id
        public string ApplicationUserId { get; set; }
        // 导航属性
        public virtual ApplicationUser ApplicationUser { get; set; }
    }
}

修正ApplicationUser类： #

namespace DBRelationsTesting.Models
{
    public class ApplicationUser : IdentityUser
    {
        public string FirstName { get; set; }
        public string LastName { get; set; }
        // 一对一导航属性（注意类型是Address实体，不是ViewModel）
        public virtual Address Address { get; set; }
        public virtual ICollection<PhotoGallery> PhotoGallery { get; set; }
    }
}

配置DbContext： #

确保ApplicationDbContext包含对应的DbSet，还可以用Fluent API明确关系（可选，但逻辑更清晰）：

public class ApplicationDbContext : IdentityDbContext<ApplicationUser>
{
    public ApplicationDbContext(DbContextOptions<ApplicationDbContext> options)
        : base(options)
    {
    }

    public DbSet<Address> Addresses { get; set; }
    public DbSet<PhotoGallery> PhotoGalleries { get; set; }

    protected override void OnModelCreating(ModelBuilder builder)
    {
        base.OnModelCreating(builder);

        // 配置ApplicationUser与Address的一对一关系
        builder.Entity<ApplicationUser>()
            .HasOne(u => u.Address)
            .WithOne(a => a.ApplicationUser)
            .HasForeignKey<Address>(a => a.ApplicationUserId)
            .OnDelete(DeleteBehavior.Cascade); // 用户删除时，关联地址也同步删除
    }
}

配置完成后记得执行迁移：

Add-Migration AddAddressAndPhotoGalleryRelations
Update-Database

3. 关于自定义UserProfile类加virtual User是否可行？ #

不建议这么做，因为ApplicationUser已经是Identity的核心用户实体，更合理的方式是让UserProfile关联到ApplicationUser，而非反过来。比如：

public class UserProfile
{
    [Key]
    public int ProfileId { get; set; }
    public string Bio { get; set; }
    // 其他Profile字段

    // 外键关联ApplicationUser
    public string ApplicationUserId { get; set; }
    public virtual ApplicationUser ApplicationUser { get; set; }
}

然后在ApplicationUser中添加对应导航属性：

public virtual UserProfile UserProfile { get; set; }

这样既符合Identity的设计逻辑，也能保持数据关系的清晰。

4. 确保登录用户仅能查看自身数据 #

核心思路是始终用当前用户的Id过滤查询：

1. 在控制器中获取当前用户的Id：

   var userId = User.FindFirstValue(ClaimTypes.NameIdentifier);
   

2. 查询时添加过滤条件，比如获取自己的地址：

   var myAddress = await _context.Addresses
       .FirstOrDefaultAsync(a => a.ApplicationUserId == userId);
   

3. 如果必须通过参数查询（比如Details(int id)），一定要验证数据是否属于当前用户：

   public async Task<IActionResult> Details(int addressId)
   {
       var userId = User.FindFirstValue(ClaimTypes.NameIdentifier);
       var address = await _context.Addresses
           .FirstOrDefaultAsync(a => a.AddressId == addressId && a.ApplicationUserId == userId);
   
       if (address == null)
       {
           return Forbid(); // 返回403禁止访问
       }
   
       return View(address);
   }
   

内容的提问来源于stack exchange，提问作者Droid4o12