ASP.NET Core 2.0 Identity：无需重新授权更新用户角色的可行方案

当然可以不用让用户注销重登就能更新角色！我来给你讲讲两种实用的实现方法，都是用Identity的管理器就能搞定的：

为什么默认需要重登？ #

先简单说下原因：用户登录时，Identity会把角色信息打包到ClaimsPrincipal对象里，后续请求都是基于这个缓存的信息做授权判断。所以数据库里的角色改了，但缓存的信息没同步，就需要重登来刷新。

方法一：即时更新当前请求的用户身份 #

这种方法适合修改角色后立刻让变更在当前请求或后续请求生效，步骤很清晰：

1. 先用UserManager完成角色的增删操作，比如：

var user = await _userManager.GetUserAsync(User);
// 示例：添加角色
await _userManager.AddToRoleAsync(user, "Admin");
// 或者移除角色
// await _userManager.RemoveFromRoleAsync(user, "Editor");

2. 然后用SignInManager重新生成包含最新角色的ClaimsPrincipal，替换当前上下文的用户身份：

var updatedPrincipal = await _signInManager.CreateUserPrincipalAsync(user);
HttpContext.User = updatedPrincipal;

这样当前请求后续的授权判断就会用最新的角色了，用户完全不用重登。如果你的项目用了会话缓存（比如分布式缓存），记得同步清除对应的缓存条目，避免旧数据被复用。

方法二：全局自动刷新角色声明 #

这种方法更省心，每次请求都会自动从数据库拉取最新的角色，不用手动处理。你可以通过实现IClaimsTransformation来做：

1. 创建一个声明转换类：

public class RefreshRoleClaims : IClaimsTransformation
{
    private readonly UserManager<IdentityUser> _userManager;

    public RefreshRoleClaims(UserManager<IdentityUser> userManager)
    {
        _userManager = userManager;
    }

    public async Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)
    {
        var identity = principal.Identity as ClaimsIdentity;
        if (identity == null || !identity.IsAuthenticated)
            return principal;

        var user = await _userManager.GetUserAsync(principal);
        if (user == null)
            return principal;

        // 移除旧的角色声明
        var oldRoleClaims = identity.FindAll(ClaimTypes.Role).ToList();
        foreach (var claim in oldRoleClaims)
        {
            identity.RemoveClaim(claim);
        }

        // 添加最新的角色声明
        var currentRoles = await _userManager.GetRolesAsync(user);
        foreach (var role in currentRoles)
        {
            identity.AddClaim(new Claim(ClaimTypes.Role, role));
        }

        return new ClaimsPrincipal(identity);
    }
}

2. 在Startup.cs的ConfigureServices里注册这个服务：

services.AddTransient<IClaimsTransformation, RefreshRoleClaims>();

这样之后，每个请求都会自动刷新用户的角色信息，修改角色后下一个请求就会生效，完全不用用户操作。

注意事项 #

• 如果你的项目使用了分布式缓存（比如Redis）存储用户会话数据，修改角色后记得清除该用户对应的缓存键，否则缓存里的旧身份信息还会被使用。
• 方法二会每次请求都查询数据库获取角色，对性能有一点点影响，如果你的系统并发很高，可以考虑给角色查询加个短时间的缓存，平衡性能和实时性。

内容的提问来源于stack exchange，提问作者Kazbek