如何验证ASP.NET MVC中AspNet.Identity.OWIN设置的2FA记住浏览器Cookie？

在AspNet.Identity.OWIN中，.AspNet.TwoFactorRememberBrowserCookie本身已加密存储了当前用户的标识信息，无需手动解析Cookie判断归属。直接使用SignInManager提供的IsTwoFactorRememberedAsync方法即可完成验证，该方法会自动解密Cookie并校验是否与当前登录用户匹配。

具体实现步骤 #

1. 用户提交用户名密码验证通过后，获取对应的ApplicationUser实例。
2. 检查用户是否启用双因素认证：
   • 未启用则直接完成登录流程。
   • 已启用则调用await SignInManager.IsTwoFactorRememberedAsync(user.Id)：
     • 返回true：跳过2FA步骤，直接登录。
     • 返回false：引导用户完成2FA验证。

核心代码示例（登录Post方法） #

[HttpPost]
[AllowAnonymous]
[ValidateAntiForgeryToken]
public async Task<ActionResult> Login(LoginViewModel model, string returnUrl)
{
    if (!ModelState.IsValid)
    {
        return View(model);
    }

    var result = await SignInManager.PasswordSignInAsync(model.Email, model.Password, model.RememberMe, shouldLockout: false);
    switch (result)
    {
        case SignInStatus.Success:
            var user = await UserManager.FindByEmailAsync(model.Email);
            if (user != null && await UserManager.GetTwoFactorEnabledAsync(user.Id))
            {
                var isBrowserRemembered = await SignInManager.IsTwoFactorRememberedAsync(user.Id);
                if (!isBrowserRemembered)
                {
                    return RedirectToAction("TwoFactorAuthentication", new { returnUrl = returnUrl, rememberMe = model.RememberMe });
                }
            }
            return RedirectToLocal(returnUrl);
        case SignInStatus.LockedOut:
            return View("Lockout");
        case SignInStatus.RequiresVerification:
            return RedirectToAction("SendCode", new { ReturnUrl = returnUrl, RememberMe = model.RememberMe });
        case SignInStatus.Failure:
        default:
            ModelState.AddModelError("", "无效的登录尝试。");
            return View(model);
    }
}

原理说明 #

• 创建TwoFactorRememberBrowserCookie时，Identity会将用户ID等关键信息加密后存入Cookie。
• IsTwoFactorRememberedAsync会自动读取并解密该Cookie，提取用户ID与当前待登录用户ID比对：
  • 匹配则返回true，说明浏览器已记住此用户的2FA状态，可跳过验证。
  • 不匹配则返回false，即便Cookie存在，仍需用户完成2FA验证。

额外注意 #

• 无需手动删除登出后的Cookie残留，下次登录时IsTwoFactorRememberedAsync会自动校验用户归属，不匹配的Cookie不会生效。
• 不要自行解析加密Cookie内容，AspNet.Identity的加密机制已封装且安全，手动解析易引入风险或兼容性问题。

内容的提问来源于stack exchange，提问作者user2992532