如何向OpenID客户端上报用户账户锁定状态？

针对你在ASP.NET Identity Server + ASP.NET客户端（Client Credentials Flow）场景下，需要传递账户锁定日志信息的需求，推荐以下几种方案：

方案1：扩展OIDC错误响应字段（优先推荐） #

当用户连续输错密码触发账户锁定时，Identity Server会在授权/Token请求的错误响应中返回标准错误（比如invalid_grant），你可以在这个响应中添加自定义扩展字段，直接传递锁定相关信息。

• 实现步骤：
  1. 在Identity Server的登录验证逻辑中，检测到账户锁定时，构建错误响应时额外添加字段，例如：

     {
       "error": "invalid_grant",
       "error_description": "账户已锁定，请X分钟后重试",
       "account_locked": true,
       "locked_username": "testuser",
       "lock_duration_minutes": 15,
       "locked_at": "2024-05-20T14:30:00+08:00"
     }
     

  2. 客户端在处理Token请求的错误响应时，解析这些自定义字段，提取信息后写入日志。
• 优势：完全贴合OIDC规范的扩展方式，无需额外流程，对现有代码侵入性小，信息传递直接安全。
• 注意：需在Identity Server的CORS配置中允许暴露这些自定义响应头/字段，确保客户端能正常读取。

方案2：自定义Claims传递（仅适用于带用户上下文的授权流程） #

如果你的客户端实际使用的是包含用户身份的授权流程（比如Authorization Code Flow，而非纯Client Credentials Flow——纯Client Credentials无用户上下文），可以通过Identity Server的ProfileService向Token中注入锁定相关Claims。

• 实现步骤：
  1. 实现IProfileService接口，在GetProfileDataAsync方法中，检测当前用户的锁定状态，若锁定则添加自定义Claims：

     context.IssuedClaims.Add(new Claim("lock_duration_minutes", "15"));
     context.IssuedClaims.Add(new Claim("locked_at", "2024-05-20T14:30:00+08:00"));
     

  2. 客户端获取Token后，解析Token中的Claims，提取信息并记录日志。
• 注意：纯Client Credentials Flow下无用户身份关联，此方案不适用。

方案3：专用状态查询API（通用方案） #

如果上述两种方式无法满足需求，可以在Identity Server中开发一个专用API接口，供客户端查询用户的锁定状态信息。

• 实现步骤：
  1. 在Identity Server中创建API端点（如/api/account/lock-status），接受用户名参数，返回锁定时长、锁定时间等结构化数据。
  2. 客户端使用自身的Client Credentials获取访问该API的Token，在捕获到登录失败错误后，调用此接口获取详细锁定信息，再写入日志。
• 优势：适配所有授权流程，灵活性高，可支持更复杂的状态查询需求。
• 注意：需为该API配置严格的权限控制，仅允许已授权的客户端调用，避免敏感信息泄露。

关于回调URL传递参数的评估 #

你提到的通过回调URL传递参数的方式并不推荐：

• GET参数易被篡改，存在安全风险；
• 不符合OIDC标准流程，会增加系统复杂度与维护成本；
• 敏感信息暴露在URL中，可能被日志或第三方捕获。

内容的提问来源于stack exchange，提问作者the.cicada.himself