为多租户应用程序实施 ASPNET Identity：最佳实践- 技术经验 -卓越飞翔博客

为多租户应用程序实施 aspnet identity：最佳实践

构建多租户应用程序带来了独特的挑战，特别是在管理跨多个租户的用户身份验证和授权时。在本文中，我将引导您了解如何在多租户环境中实现 asp.net identity，同时遵循最佳实践以确保可扩展性、安全性和可维护性。

什么是多租户应用程序？

多租户应用程序允许多个组织（租户）使用应用程序的同一实例，每个租户的数据与其他租户隔离。这种架构对于扩展和成本分摊非常有效，但在处理用户身份验证和授权时需要特别考虑。

为多租户设置 asp.net identity

asp.net identity 是一个用于处理身份验证和用户管理的灵活框架。要使其适应多租户设置，您需要：

识别并区分用户存储中的租户。
隔离用户数据，以便每个租户只能看到自己的用户。
实施为每个租户量身定制的自定义身份验证和角色管理。

第 1 步：修改用户模型以支持多租户

在多租户应用程序中，每个用户必须与特定租户关联。您可以通过添加 tenantid 属性来修改 asp.net identity user 模型来跟踪用户所属的租户。

public class applicationuser : identityuser
{
    public string tenantid { get; set; }
}

第 2 步：扩展 identitydbcontext 来处理租户数据

接下来，通过确保基于 tenantid 过滤查询来扩展 identitydbcontext 以支持特定于租户的数据。

public class applicationdbcontext : identitydbcontext<applicationuser>
{
    public applicationdbcontext(dbcontextoptions<applicationdbcontext> options)
        : base(options) { }

    protected override void onmodelcreating(modelbuilder builder)
    {
        base.onmodelcreating(builder);

        // add a global query filter to isolate data by tenant
        builder.entity<applicationuser>().hasqueryfilter(u =&gt; u.tenantid == getcurrenttenantid());
    }

    private string getcurrenttenantid()
    {
        // implement logic to retrieve the current tenant's id, e.g., from the request or context
        return tenantresolver.resolvetenantid();
    }
}
</applicationuser></applicationdbcontext></applicationuser>

第 3 步：租户解决

为了确保每个用户与正确的租户关联，您需要一个租户解析器来确定当前请求与哪个租户相关。这可以基于子域、url 段或自定义标头。

public static class tenantresolver
{
    public static string resolvetenantid()
    {
        // example: resolve tenant from subdomain or url segment
        var host = httpcontext.current.request.host.value;
        return host.split('.')[0]; // assuming subdomain is used for tenant identification
    }
}

第 4 步：配置身份验证

在多租户应用程序中，必须确保用户只能使用其特定于租户的凭据进行身份验证。自定义登录逻辑以在身份验证期间检查tenantid。

public class customsigninmanager : signinmanager<applicationuser>
{
    public customsigninmanager(usermanager<applicationuser> usermanager,
                               ihttpcontextaccessor contextaccessor,
                               iuserclaimsprincipalfactory<applicationuser> claimsfactory,
                               ioptions<identityoptions> optionsaccessor,
                               ilogger<signinmanager>&gt; logger,
                               iauthenticationschemeprovider schemes,
                               iuserconfirmation<applicationuser> confirmation)
        : base(usermanager, contextaccessor, claimsfactory, optionsaccessor, logger, schemes, confirmation)
    { }

    public override async task<signinresult> passwordsigninasync(string username, string password, bool ispersistent, bool lockoutonfailure)
    {
        // resolve tenant before signing in
        var tenantid = tenantresolver.resolvetenantid();
        var user = await usermanager.findbynameasync(username);

        if (user == null || user.tenantid != tenantid)
        {
            return signinresult.failed;
        }

        return await base.passwordsigninasync(username, password, ispersistent, lockoutonfailure);
    }
}
</signinresult></applicationuser></signinmanager></identityoptions></applicationuser></applicationuser></applicationuser>

第 5 步：租户基于角色的访问控制 (rbac)

每个租户可能有自己的一组角色和权限。修改您的角色模型以包含 tenantid 并调整角色检查以考虑当前租户。

public class applicationrole : identityrole
{
    public string tenantid { get; set; }
}

第 6 步：安全数据访问

对于多租户应用程序，数据隔离至关重要。除了保护身份验证和授权之外，还要确保用户只能访问特定于租户的数据。在 dbcontext 中应用全局查询过滤器，或使用存储库模式根据当前 tenantid 过滤数据。

public class userrepository : iuserrepository
{
    private readonly applicationdbcontext _context;

    public userrepository(applicationdbcontext context)
    {
        _context = context;
    }

    public iqueryable<user> getusers()
    {
        var tenantid = tenantresolver.resolvetenantid();
        return _context.users.where(u =&gt; u.tenantid == tenantid);
    }
}
</user>

第 7 步：测试多租户

测试多租户应用程序时，请确保：

测试多个租户的登录和身份验证。
确保用户和角色在租户之间正确隔离。
验证数据只能由授权租户访问。

使用单元测试和集成测试，模拟租户解析并确保应用特定于租户的逻辑。

[TestMethod]
public async Task User_Should_Only_See_Tenant_Data()
{
    // Arrange
    var tenantId = "tenant_1";
    var tenantUser = new ApplicationUser { UserName = "user1", TenantId = tenantId };

    // Act
    var result = await _signInManager.PasswordSignInAsync(tenantUser.UserName, "password", false, false);

    // Assert
    Assert.AreEqual(SignInResult.Success, result);
}

最佳实践回顾

隔离用户和角色数据：确保用户、角色和权限仅限于特定租户。
全局查询过滤器：使用查询过滤器自动将数据访问范围限制到正确的租户。
租户解析：基于子域、url 段或自定义标头实施强大的租户解析策略。
自定义身份验证：自定义身份验证过程以包括租户检查。
彻底测试：始终在多租户场景中测试您的应用程序，以避免安全和数据泄漏问题。

结论

在多租户环境中实现 asp.net identity 可能具有挑战性，但通过正确的实践，您可以确保可扩展性、安全性和数据隔离。通过遵循本指南中概述的步骤，您将能够构建适合每个租户需求的强大的多租户身份管理系统。

如果您遇到类似的挑战或有其他多租户应用程序的最佳实践，请告诉我。我很想在评论中听到你的想法！