在Identity Server 4（ASP.NET Core）中实现指纹/人脸识别登录咨询

Identity Server 4的支持情况 #

Identity Server 4（IS4）本身没有内置指纹/人脸识别的原生支持，但它的认证体系具备高度扩展性，可以通过集成WebAuthn标准或自定义认证流程来实现生物识别登录。WebAuthn是W3C定义的跨平台Web生物认证标准，支持绝大多数现代设备的指纹、人脸、Windows Hello等生物识别方式，是当前最可靠的实现路径。

具体实现步骤 #

1. 扩展用户数据存储 #

需要在现有ASP.NET Core Identity的用户体系中，新增存储生物识别凭证的表，用来关联用户和其生物识别设备的凭证信息。示例实体类：

public class UserWebAuthnCredential
{
    public int Id { get; set; }
    public string UserId { get; set; } // 关联AspNetUsers的Id
    public string CredentialId { get; set; } // 唯一标识凭证的Base64字符串
    public byte[] PublicKey { get; set; } // 设备公钥
    public byte[] UserHandle { get; set; } // 用户唯一标识
    public DateTime CreatedAt { get; set; } = DateTime.UtcNow;
}

在DbContext中配置关联：

public DbSet<UserWebAuthnCredential> UserWebAuthnCredentials { get; set; }

protected override void OnModelCreating(ModelBuilder builder)
{
    base.OnModelCreating(builder);
    builder.Entity<UserWebAuthnCredential>()
           .HasOne<IdentityUser>()
           .WithMany()
           .HasForeignKey(c => c.UserId);
}

2. 实现生物识别凭证的注册流程 #

在用户个人中心或注册完成后，添加“绑定指纹/人脸”功能：

• 前端调用WebAuthn的navigator.credentials.create()API发起注册请求，获取设备生成的凭证对象。
• 将凭证信息提交到后端，用WebAuthn验证库（如WebAuthn.Net）验证合法性后，通过UserManager关联到当前用户并保存。

前端注册示例：

async function registerBiometric() {
    const publicKey = {
        challenge: Uint8Array.from(atob(后端生成的挑战字符串), c => c.charCodeAt(0)),
        rp: { name: "你的应用名称" },
        user: {
            id: Uint8Array.from(atob(当前用户的UserHandle), c => c.charCodeAt(0)),
            name: 当前用户名,
            displayName: 当前用户昵称
        },
        pubKeyCredParams: [{ type: "public-key", alg: -7 }], // ES256算法
        authenticatorSelection: { userVerification: "preferred" }
    };

    const credential = await navigator.credentials.create({ publicKey });
    // 将credential转换为Base64格式，提交到后端
}

3. 扩展Identity Server 4的登录流程 #

3.1 修改IS4登录页面

在IS4的登录视图中添加“指纹/人脸登录”按钮，点击触发前端生物识别认证流程。

3.2 后端处理登录请求

前端完成生物识别后，将认证断言提交到后端，执行以下步骤：

1. 转换并验证断言数据的有效性。
2. 根据凭证ID查询关联用户。
3. 调用SignInManager.SignInAsync()完成登录。
4. 跳回IS4的授权流程生成身份凭证。

后端验证示例：

public async Task<IActionResult> BiometricLogin(BiometricLoginRequest request)
{
    var assertion = new AuthenticatorAssertionRawResponse
    {
        CredentialId = Convert.FromBase64String(request.CredentialId),
        AuthenticatorData = Convert.FromBase64String(request.AuthenticatorData),
        Signature = Convert.FromBase64String(request.Signature),
        UserHandle = Convert.FromBase64String(request.UserHandle)
    };

    var credential = await _dbContext.UserWebAuthnCredentials
        .FirstOrDefaultAsync(c => c.CredentialId == request.CredentialId);
    if (credential == null) return BadRequest("无效凭证");

    var user = await _userManager.FindByIdAsync(credential.UserId);
    if (user == null) return BadRequest("用户不存在");

    var verificationResult = await _webAuthnVerifier.VerifyAssertionAsync(
        assertion, 
        credential.PublicKey,
        后端存储的挑战字符串
    );

    if (!verificationResult.IsValid) return BadRequest("生物识别验证失败");

    await _signInManager.SignInAsync(user, isPersistent: false);
    return RedirectToAction("Login", "Account", new { returnUrl = request.ReturnUrl });
}

4. 集成到IS4认证体系 #

确保在IS4的服务配置中，使用ASP.NET Core Identity作为用户来源：

builder.Services.AddIdentity<IdentityUser, IdentityRole>()
    .AddEntityFrameworkStores<ApplicationDbContext>()
    .AddDefaultTokenProviders();

builder.Services.AddIdentityServer()
    .AddAspNetIdentity<IdentityUser>()
    .AddInMemoryClients(Config.Clients)
    .AddInMemoryIdentityResources(Config.IdentityResources)
    .AddInMemoryApiResources(Config.ApiResources)
    .AddInMemoryApiScopes(Config.ApiScopes);

关键注意事项 #

• 强制HTTPS：WebAuthn要求除localhost外的环境必须使用HTTPS，否则浏览器会拒绝调用生物识别API。
• 凭证加密存储：生物识别相关的公钥、凭证ID等信息需加密存储，避免明文泄露。
• 备选登录方案：保留用户名密码登录作为生物识别失败时的 fallback，提升用户体验。
• 兼容性检测：部分旧浏览器或设备不支持WebAuthn，需提前做兼容性判断。

内容的提问来源于stack exchange，提问作者JackFrost