ASP.NET Core 2.0大量用户身份声明存储与检索方案咨询

嘿，这个问题我之前帮不少开发者处理过，你的思路其实是完全可行的——而且这正是应对Cookie膨胀的经典方案之一！

为什么这个方案能解决问题？ #

默认情况下，Identity会把用户所有关联的声明一股脑塞进认证Cookie里，当声明数量多到一定程度，Cookie体积会急剧膨胀：不仅增加带宽消耗，还可能触发浏览器的Cookie大小限制（一般是4KB左右），直接导致认证失效。而ClaimsTransformer的核心作用，就是在用户完成初始认证后，动态补充或替换声明——我们正好可以利用这一点，只在Cookie里保留最核心的身份标识（比如用户ID、用户名），把其他非核心声明存在自定义数据库表中，等到真正需要的时候再加载。

具体实现步骤 #

1. 设计自定义声明存储表 #

先创建一个独立的表（比如命名为UserExtendedClaims），用来存储用户的非核心声明，字段可以包括：

• UserId：关联Identity的AspNetUsers表
• ClaimType：声明类型
• ClaimValue：声明值
• 可选：IsActive（标记声明是否有效）、CreatedDate等

2. 实现IClaimsTransformer接口 #

在ASP.NET Core 2.0中，你需要实现IClaimsTransformer接口的TransformAsync方法，这里就是加载自定义声明的核心逻辑：

public class CustomClaimsTransformer : IClaimsTransformer
{
    private readonly UserManager<ApplicationUser> _userManager;
    private readonly ApplicationDbContext _dbContext;

    public CustomClaimsTransformer(UserManager<ApplicationUser> userManager, ApplicationDbContext dbContext)
    {
        _userManager = userManager;
        _dbContext = dbContext;
    }

    public async Task<ClaimsPrincipal> TransformAsync(ClaimsTransformationContext context)
    {
        var identity = context.Principal.Identity as ClaimsIdentity;
        if (identity == null || !identity.IsAuthenticated)
        {
            return context.Principal;
        }

        var userId = identity.FindFirst(ClaimTypes.NameIdentifier)?.Value;
        if (string.IsNullOrEmpty(userId))
        {
            return context.Principal;
        }

        // 从自定义表加载用户的扩展声明
        var extendedClaims = await _dbContext.UserExtendedClaims
            .Where(c => c.UserId == userId && c.IsActive)
            .ToListAsync();

        foreach (var claim in extendedClaims)
        {
            // 避免重复添加相同声明
            if (!identity.HasClaim(c => c.Type == claim.ClaimType && c.Value == claim.ClaimValue))
            {
                identity.AddClaim(new Claim(claim.ClaimType, claim.ClaimValue));
            }
        }

        return context.Principal;
    }
}

3. 注册ClaimsTransformer到依赖注入容器 #

在Startup.cs的ConfigureServices方法里，把我们的自定义Transformer注册进去：

services.AddScoped<IClaimsTransformer, CustomClaimsTransformer>();

4. 配置认证中间件启用ClaimsTransformation #

同样在Startup.cs的ConfigureServices中，给Cookie认证添加事件处理，让它在验证身份时调用Transformer：

services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        // 这里可以保留你原有的Cookie配置，比如登录路径、过期时间等
        options.Events = new CookieAuthenticationEvents
        {
            OnValidatePrincipal = async context =>
            {
                var transformer = context.HttpContext.RequestServices.GetRequiredService<IClaimsTransformer>();
                var newPrincipal = await transformer.TransformAsync(new ClaimsTransformationContext { Principal = context.Principal });
                context.ReplacePrincipal(newPrincipal);
                
                // 如果需要在声明更新时自动刷新Cookie，可以设置这个属性
                // context.ShouldRenew = true;
            }
        };
    });

关键注意事项 #

• 核心声明不能丢：Cookie里一定要保留能唯一定位用户的核心声明（比如NameIdentifier），否则TransformAsync里没法找到对应的用户数据。
• 缓存优化：如果每次请求都查数据库有点耗性能，可以把加载后的声明缓存起来（比如用MemoryCache），先查缓存再查数据库，提升响应速度。
• 声明更新同步：当用户的扩展声明发生变化时，需要让用户重新登录，或者调用_signInManager.RefreshSignInAsync(user)手动刷新认证状态，否则旧的声明会一直生效。
• 数据库索引：给UserExtendedClaims表的UserId字段加个索引，能大幅提升查询效率。

其他可选方案（供你参考） #

除了ClaimsTransformer，还有几种思路可以解决Cookie膨胀问题：

• 用Session存声明：把大部分声明存在Session里，Cookie只存SessionId。但Web服务器场环境下需要配置分布式缓存（比如Redis）来同步Session数据。
• 精简不必要的声明：先检查一下是否有重复、冗余的声明——比如某些角色声明是否可以合并，或者有没有把不需要的用户属性硬加进声明里。
• 切换到JWT认证：如果场景适合，把认证方式改成JWT，令牌可以存在HttpOnly Cookie里，声明管理更灵活，但需要处理令牌过期和刷新的逻辑。

总的来说，你考虑的ClaimsTransformer方案非常适合你的Web服务器场场景，不需要额外的分布式缓存依赖（加缓存会更优），实现起来也直观可控，放心用就好。

内容的提问来源于stack exchange，提问作者Joe Mancuso