多ASP.Net MVC项目共享用户：独立安全服务构建及Identity Framework应用咨询

我刚好处理过类似的多项目共享用户身份的场景，结合ASP.NET Identity和Web API，给你梳理一套实用的方案和最佳实践：

1. 搭建独立的身份认证Web API服务 #

核心思路是把所有身份相关的逻辑（用户管理、登录授权）都封装在这个独立API里，作为三个MVC项目的统一身份源：

• 集成ASP.NET Identity到API：在API项目中引入ASP.NET Identity，用Entity Framework连接单独的身份数据库（存储用户、角色、Claim等数据）。创建AccountController、UserController等核心控制器，暴露Login、Register、ChangePassword、GetUserClaims等接口。
• 配置JWT认证：因为是跨项目API调用，无状态的JWT是最优选择。在API的启动配置中，设置JWT的签名密钥、issuer（发行方）、audience（受众），并在用户登录成功后生成包含用户ID、角色、权限Claim的JWT返回给客户端。
• 实现Refresh Token机制：为了避免用户频繁登录，给每个登录用户生成一个刷新Token（存储在数据库），当JWT过期时，客户端可以用刷新Token向API请求新的JWT，同时失效旧的刷新Token。

2. 三个MVC项目的身份集成方案 #

每个MVC项目不需要单独集成Identity，只需要做API调用和本地验证：

• 登录流程：MVC项目的登录页面收集账号密码后，POST到身份API的Login接口，拿到JWT和刷新Token后，将JWT存储在HttpOnly、Secure的Cookie中（防止XSS攻击），刷新Token可以存在Cookie或数据库（根据安全需求）。
• 全局身份验证拦截：在MVC项目中添加全局Action过滤器，每次请求时从Cookie中取出JWT，要么本地验证JWT的签名和有效期（如果用对称加密），要么调用身份API的验证接口确认Token有效性，验证不通过则跳转到登录页。
• 角色与权限授权：如果需要基于角色的授权，建议在JWT的Claim中包含用户角色信息，这样MVC项目可以直接用[Authorize(Roles = "Admin")]特性做本地授权，无需每次调用API；如果权限需要动态变更，可以定期调用API同步用户权限。

3. 基于Identity Framework的关键最佳实践 #

• 集中管理身份数据：所有身份相关数据（用户、角色、Claim）统一存储在独立数据库，三个MVC项目和身份API都连接这个库，确保数据一致性，避免重复存储。
• 统一安全策略：在身份API中集中配置密码复杂度规则、账户锁定策略、Token过期时间等，所有MVC项目自动遵循这些规则，无需各自配置。
• 避免重复业务逻辑：所有用户注册、密码重置、信息修改等操作都放在身份API中实现，MVC项目只负责UI展示和API调用，减少重复代码，降低维护成本。
• 强化安全防护：
  • 所有API请求强制使用HTTPS，防止Token和敏感数据被窃取。
  • 禁用JWT的明文传输，必须通过Cookie或Authorization头的Bearer方式传递。
  • 实现Token注销功能：用户退出时，调用身份API将对应的刷新Token标记为无效，防止恶意复用。

4. 进阶方案：用IdentityServer4实现SSO（若基于.NET Core） #

如果你的项目是基于ASP.NET Core的，推荐使用IdentityServer4作为身份认证服务——它是专门为.NET生态打造的OpenID Connect/OAuth2框架，能无缝集成ASP.NET Identity，还支持单点登录（SSO）：三个MVC项目只需配置为IdentityServer的客户端，用户在任意一个项目登录后，其他项目自动识别身份，体验更流畅，同时也简化了身份逻辑的维护。

内容的提问来源于stack exchange，提问作者MAMG