用户中心常被认为是最通用、最适合优先拆分的模块，但它可能连接所有应用、后台任务和权限规则。拆分前需要分清登录身份、组织关系与业务授权是否真的属于同一个边界。
先区分三种责任
身份认证回答调用者是谁，组织关系描述其归属，业务授权决定能否操作具体资源。把这些全部放进一个服务，可能让每个业务判断都依赖远程调用，也使权限变更难以独立管理。
盘点所有身份使用方式
除了网页登录，还要检查服务账号、合作方接口、定时任务和历史令牌。记录各类凭证的签发、验证、过期和撤销方式。迁移计划应覆盖新旧凭证共存，不能只演示新登录页面成功。
业务权限留在能够判断规则的位置
订单属于哪个租户、是否已结算、当前角色能否退款，需要结合业务资源判断。统一身份不意味着可以在网关检查一次角色后放行所有操作。服务间调用也需要明确可信来源与授权范围。
验收异常身份和迁移窗口
测试过期凭证、权限变更、账号停用以及跨租户访问。确认认证服务暂时不可用时，哪些请求可以继续按已有验证机制处理，哪些必须拒绝，并记录风险边界。
常见问题：统一认证是否必须先拆所有用户资料？
不必。身份接入和业务资料可以分阶段治理，先解决最明确的登录或权限问题，再评估数据迁移。
技术参考：微软：基于资源的授权。具体接口与配置请结合使用版本核对。
将评估落实到你的系统
准备推进现有 .NET 系统改造时，可以先约定一个范围明确的试点。通过单体系统渐进式改造服务梳理边界、兼容与迁移步骤，再按验证结果决定下一阶段。