ASP.NET Core中如何合并两个OAuth认证方案的ClaimsPrincipal？

你的核心问题是在关联第二个OAuth账号时，新身份会覆盖原有Cookie中的登录身份。要实现身份合并，关键是先获取当前已登录的Cookie用户主体，再将新的OAuth身份信息合并进去，而非直接创建新身份覆盖原有数据。

修正后的实现思路 #

1. 先尝试获取当前已通过Cookie认证的用户主体
2. 若用户已登录，将新OAuth身份的Claims合并到现有主体（或添加新Identity到Principal中）
3. 重新将合并后的主体登录到Cookie认证方案

具体代码示例 #

options.Events.OnCreatingTicket = async context =>
{
    // 执行默认的Claim解析逻辑
    context.RunClaimActions(JsonDocument.Parse(userData).RootElement);

    // 获取当前已登录的Cookie用户
    var existingAuthResult = await context.HttpContext.AuthenticateAsync(CookieAuthenticationDefaults.AuthenticationScheme);
    ClaimsPrincipal mergedPrincipal;

    if (existingAuthResult.Succeeded)
    {
        // 复制现有主体，避免修改原对象
        mergedPrincipal = new ClaimsPrincipal(existingAuthResult.Principal);
        
        // 方式1：将新OAuth身份的Claims合并到现有主Identity（自动去重）
        var existingIdentity = mergedPrincipal.Identity as ClaimsIdentity;
        foreach (var claim in context.Principal.Claims)
        {
            if (!existingIdentity.HasClaim(c => c.Type == claim.Type && c.Value == claim.Value))
            {
                existingIdentity.AddClaim(claim);
            }
        }

        // 方式2：保留多个Identity（每个OAuth方案对应一个Identity，Cookie作为主身份）
        // mergedPrincipal.AddIdentity(context.Principal.Identities.First());
    }
    else
    {
        // 用户未登录，直接使用当前OAuth身份（首次登录场景）
        mergedPrincipal = context.Principal;
    }

    // 将合并后的主体登录到Cookie方案
    await context.HttpContext.SignInAsync(CookieAuthenticationDefaults.AuthenticationScheme, mergedPrincipal);
};

关键注意点 #

• 用AuthenticateAsync获取现有登录用户，而非直接创建新Principal
• 合并Claims时建议去重，避免重复添加相同Type和Value的Claim
• 可根据业务需求选择合并到单个Identity，或保留多个Identity（后者更便于区分不同OAuth提供商的身份来源）

内容的提问来源于stack exchange，提问作者iKingNinja