ASP.Net Core MVC Identity：如何添加临时（会话）声明？

Hey Dave, sorry to see your previous two questions about temporary session-based claims didn't get the traction you needed. Let's walk through a solid solution for your multi-tenant franchise-style app—this is a scenario I've implemented a few times, so I know what works.

核心思路 #

我们要实现的是会话级临时Claims——用户登录后可以切换有权访问的门店，当前选中的门店ID会作为临时Claim附加到用户身份中，仅在当前会话生效，不会修改数据库里的持久化用户Claims。

1. 初始化用户可访问的门店列表 #

用户登录成功后，先从数据库拉取该用户有权访问的所有门店/租户信息，把它存在Session里（多服务器部署的话换成分布式缓存，比如Redis），同时默认选中第一个门店：

// 登录成功后的逻辑（比如在AccountController的LoginAsync方法后）
var userAccessibleStores = await _storeService.GetUserAccessibleStoresAsync(User.Identity.Name);
// 序列化后存入Session
HttpContext.Session.SetString("UserAccessibleStores", JsonSerializer.Serialize(userAccessibleStores));
// 默认选中第一个门店，或者引导用户手动选择
HttpContext.Session.SetString("CurrentStoreId", userAccessibleStores.First().Id.ToString());

2. 用ClaimsTransformation动态添加临时Claim #

ASP.NET Core的IClaimsTransformation是处理动态Claims的标准方式，它会在每个请求中自动给已认证用户附加临时Claim：

自定义Claims转换器 #

public class DynamicStoreClaimsTransformer : IClaimsTransformation
{
    private readonly IHttpContextAccessor _httpContextAccessor;

    public DynamicStoreClaimsTransformer(IHttpContextAccessor httpContextAccessor)
    {
        _httpContextAccessor = httpContextAccessor;
    }

    public Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)
    {
        // 只处理已登录用户
        if (!principal.Identity.IsAuthenticated)
        {
            return Task.FromResult(principal);
        }

        var httpContext = _httpContextAccessor.HttpContext;
        var currentStoreId = httpContext.Session.GetString("CurrentStoreId");

        // 如果当前门店ID存在且未添加到Claim中，就追加
        if (!string.IsNullOrEmpty(currentStoreId) && !principal.HasClaim(c => c.Type == "CurrentStoreId"))
        {
            var identity = principal.Identity as ClaimsIdentity;
            identity.AddClaim(new Claim("CurrentStoreId", currentStoreId));
        }

        return Task.FromResult(principal);
    }
}

注册服务和中间件 #

在Program.cs里注册相关服务，并启用Session：

// 注册Claims转换器
builder.Services.AddScoped<IClaimsTransformation, DynamicStoreClaimsTransformer>();
// 注册HttpContextAccessor（用于访问Session）
builder.Services.AddHttpContextAccessor();
// 配置Session
builder.Services.AddSession(options =>
{
    options.IdleTimeout = TimeSpan.FromHours(2); // 根据业务调整超时时间
    options.Cookie.HttpOnly = true;
    options.Cookie.IsEssential = true;
});

// 中间件顺序很重要：先Session，再认证，再授权
app.UseSession();
app.UseAuthentication();
app.UseAuthorization();

3. 实现门店切换功能 #

给用户提供切换门店的UI，后台处理逻辑要验证用户权限：

[HttpPost("SwitchStore")]
public IActionResult SwitchStore(Guid storeId)
{
    // 从Session取出用户可访问的门店列表，验证权限
    var accessibleStores = JsonSerializer.Deserialize<List<Store>>(HttpContext.Session.GetString("UserAccessibleStores"));
    if (accessibleStores.Any(s => s.Id == storeId))
    {
        // 更新当前门店ID
        HttpContext.Session.SetString("CurrentStoreId", storeId.ToString());
        // 跳转首页，让新Claim立即生效
        return RedirectToAction("Index", "Home");
    }
    // 无权限则返回禁止访问
    return Forbid();
}

4. 自动过滤数据 #

有了CurrentStoreId Claim后，就可以在数据层自动过滤用户能看到的数据：

手动查询过滤 #

public async Task<List<Order>> GetUserOrdersAsync(ClaimsPrincipal user)
{
    var currentStoreId = user.FindFirstValue("CurrentStoreId");
    return await _dbContext.Orders
        .Where(o => o.StoreId == Guid.Parse(currentStoreId))
        .ToListAsync();
}

EF Core全局查询过滤器（更优雅） #

如果用EF Core，可以给租户相关实体添加全局过滤器，自动过滤数据：

public class AppDbContext : DbContext
{
    private readonly IHttpContextAccessor _httpContextAccessor;

    public AppDbContext(DbContextOptions<AppDbContext> options, IHttpContextAccessor httpContextAccessor)
        : base(options)
    {
        _httpContextAccessor = httpContextAccessor;
    }

    protected override void OnModelCreating(ModelBuilder modelBuilder)
    {
        // 给Order实体添加全局过滤器
        modelBuilder.Entity<Order>().HasQueryFilter(o => 
            o.StoreId == Guid.Parse(_httpContextAccessor.HttpContext.User.FindFirstValue("CurrentStoreId")));
    }
}

关键注意事项 #

• 不要修改持久化Claims：这种会话级的临时权限不要存到AspNetUserClaims表，否则切换门店会影响用户的永久身份。
• 多服务器部署用分布式Session：如果你的应用跑在多台服务器上，要把Session存在Redis或SQL Server里，确保所有服务器能共享Session数据。
• 权限校验不能少：切换门店时一定要验证用户是否真的有权访问该门店，不能让用户随意输入门店ID绕过权限。

内容的提问来源于stack exchange，提问作者Dave Smash