在.NET Core Razor Pages中，如何用自定义特性获取数据库值验证IdentityRole？

我明白你的痛点——前端篡改角色选项值会直接导致系统崩溃，硬编码正则又太死板，用自定义验证特性结合数据库校验确实是最优解，而且完全适配你的Razor Pages（MVVM）场景，不用纠结和MVC的差异，核心是利用.NET的验证上下文获取依赖服务就行。

第一步：创建正确的自定义验证特性 #

我们可以直接通过ValidationContext获取RoleManager<IdentityRole>（比直接用DbContext更贴合Identity的设计），然后校验提交的角色名称是否存在于数据库中。另外要注意，你之前在Edit1里的判断逻辑写反了，下面的代码已经修正了这个问题：

using Microsoft.AspNetCore.Identity;
using System.ComponentModel.DataAnnotations;

public class ValidateExistingRoleAttribute : ValidationAttribute
{
    protected override ValidationResult IsValid(object value, ValidationContext validationContext)
    {
        // 从验证上下文获取Identity的RoleManager服务
        var roleManager = (RoleManager<IdentityRole>)validationContext.GetService(typeof(RoleManager<IdentityRole>));
        
        if (roleManager == null)
        {
            return new ValidationResult("无法获取角色管理服务，请检查依赖注入配置。");
        }

        var roleName = value as string;
        if (string.IsNullOrEmpty(roleName))
        {
            return new ValidationResult("角色不能为空。");
        }

        // 异步检查角色是否存在于数据库（用.Result是因为验证方法是同步的，这是安全的场景）
        var roleExists = roleManager.RoleExistsAsync(roleName).Result;
        if (!roleExists)
        {
            return new ValidationResult($"所选角色「{roleName}」不存在，请选择有效的角色。");
        }

        return ValidationResult.Success;
    }
}

为什么用RoleManager而不是直接操作DbContext？ #

RoleManager封装了Identity角色操作的所有逻辑，比如RoleExistsAsync，比直接查询DbContext更符合Identity的架构设计，也能避免直接操作实体类带来的潜在问题。

第二步：在视图模型上应用验证特性 #

修改你的UserModel，把自定义特性加到RoleId属性上：

public class UserModel
{
    // 其他属性...
    
    [Required]
    [Display(Name = "Role")]
    [ValidateExistingRole] // 应用自定义验证特性
    public string RoleId { get; set; }
    
    // 其他属性...
}

第三步：确保Post方法中校验ModelState #

你在Edit2里已经加上了!ModelState.IsValid的判断，这一步非常关键——只有当ModelState验证通过时，才继续执行后续的角色修改逻辑。另外建议优化异步调用的写法，避免用.Result导致潜在死锁：

[ValidateAntiForgeryToken]
public async Task<IActionResult> OnPostEditAsync(UserModel model, string id)
{
    var user = await _userManager.FindByIdAsync(id);
    
    // 先检查用户是否存在，再检查ModelState
    if (user == null || !ModelState.IsValid)
    {
        // 重新加载角色列表，确保返回页面时下拉框有正确选项
        Roles = await _roleManager.Roles.ToListAsync();
        return Page();
    }

    var currentRoles = await _userManager.GetRolesAsync(user);
    if (currentRoles.Any())
    {
        var currentRole = currentRoles.First();
        string selectedRole = model.RoleId;
        
        if (selectedRole != currentRole)
        {
            await _userManager.RemoveFromRoleAsync(user, currentRole);
            await _userManager.AddToRoleAsync(user, selectedRole);
        }
    }
    // 处理用户原本无角色的情况
    else
    {
        await _userManager.AddToRoleAsync(user, model.RoleId);
    }

    await _userManager.UpdateAsync(user);
    return RedirectToPage("./Users");
}

为什么这个方案适配Razor Pages？ #

Razor Pages的PageModel本质上也是依赖注入的容器，自定义验证特性通过ValidationContext.GetService获取服务的方式，和MVC里的验证特性完全一致——不管是MVC还是Razor Pages，.NET的验证系统底层逻辑是相同的，所以不用担心适配问题。

内容的提问来源于stack exchange，提问作者M. Douglas