ASP.NET Core 8 Web API中JWT场景下Authenticator 2FA身份识别问询

在JWT场景下，你可以通过生成加密的临时2FA验证令牌来替代Razor Pages中的Identity.TwoFactorUserId Cookie，实现无状态的用户标识与2FA验证。以下是具体实现方案：

1. 密码验证通过后生成临时令牌 #

当用户提交账号密码并验证通过时，若检测到用户已启用2FA，不要直接返回JWT，而是生成一个加密的临时令牌（包含用户ID和过期时间）返回给前端。这个令牌用于后续2FA验证时唯一识别用户，且具备防篡改、过期自动失效的特性。

// 登录接口逻辑示例
[HttpPost("login")]
public async Task<IActionResult> Login([FromBody] LoginRequest request)
{
    var user = await _userManager.FindByNameAsync(request.Username);
    if (user == null || !await _userManager.CheckPasswordAsync(user, request.Password))
    {
        return Unauthorized("账号或密码错误");
    }

    // 检查用户是否启用2FA
    if (await _userManager.GetTwoFactorEnabledAsync(user))
    {
        // 使用DataProtector加密令牌内容（和Identity的Cookie加密逻辑一致）
        var dataProtector = _dataProtectionProvider.CreateProtector("TwoFactorAuth:TokenProtector");
        var tokenPayload = JsonSerializer.Serialize(new 
        { 
            UserId = user.Id, 
            ExpiresUtc = DateTime.UtcNow.AddMinutes(5) // 设置5分钟过期，避免滥用
        });
        var protectedToken = dataProtector.Protect(tokenPayload);

        return Ok(new 
        { 
            RequiresTwoFactor = true, 
            TwoFactorToken = protectedToken,
            Message = "请输入Authenticator应用中的验证码"
        });
    }

    // 未启用2FA，直接返回JWT
    var jwtToken = GenerateJwtToken(user);
    return Ok(new { Token = jwtToken });
}

// 辅助请求类
public class LoginRequest
{
    public string Username { get; set; }
    public string Password { get; set; }
}

2. 接收2FA代码与临时令牌完成验证 #

前端携带临时令牌和用户输入的Authenticator代码，提交到专门的2FA验证接口。接口先解密令牌、检查有效性，再验证2FA代码，通过后生成并返回正式JWT。

[HttpPost("verify-2fa")]
public async Task<IActionResult> VerifyTwoFactor([FromBody] VerifyTwoFactorRequest request)
{
    // 解密临时令牌
    var dataProtector = _dataProtectionProvider.CreateProtector("TwoFactorAuth:TokenProtector");
    string tokenPayload;
    try
    {
        tokenPayload = dataProtector.Unprotect(request.TwoFactorToken);
    }
    catch
    {
        return BadRequest("无效的2FA验证令牌");
    }

    // 解析令牌内容并检查过期时间
    var tokenData = JsonSerializer.Deserialize<TwoFactorTokenData>(tokenPayload);
    if (tokenData.ExpiresUtc < DateTime.UtcNow)
    {
        return BadRequest("2FA验证令牌已过期，请重新登录");
    }

    // 根据用户ID获取用户信息
    var user = await _userManager.FindByIdAsync(tokenData.UserId);
    if (user == null)
    {
        return Unauthorized();
    }

    // 验证Authenticator代码
    var isCodeValid = await _userManager.VerifyTwoFactorTokenAsync(
        user, 
        _userManager.Options.Tokens.AuthenticatorTokenProvider, 
        request.Code
    );
    if (!isCodeValid)
    {
        return BadRequest("无效的2FA验证码");
    }

    // 验证通过，生成正式JWT
    var jwtToken = GenerateJwtToken(user);
    return Ok(new { Token = jwtToken });
}

// 辅助类定义
public class VerifyTwoFactorRequest
{
    public string TwoFactorToken { get; set; }
    public string Code { get; set; }
}

public class TwoFactorTokenData
{
    public string UserId { get; set; }
    public DateTime ExpiresUtc { get; set; }
}

替代方案：用短生命周期JWT作为临时标识 #

如果你不想额外实现加密逻辑，也可以生成一个仅包含用户ID、短过期时间（5分钟以内）的JWT作为临时标识。前端携带这个临时JWT和2FA代码提交，接口先验证JWT的签名与有效性，再获取用户ID完成2FA验证。

// 生成临时JWT示例
var tempTokenHandler = new JwtSecurityTokenHandler();
var tempSecret = Encoding.ASCII.GetBytes(_configuration["Jwt:TempSecret"]);
var tempTokenDescriptor = new SecurityTokenDescriptor
{
    Subject = new ClaimsIdentity(new[] { new Claim(ClaimTypes.NameIdentifier, user.Id) }),
    Expires = DateTime.UtcNow.AddMinutes(5),
    SigningCredentials = new SigningCredentials(
        new SymmetricSecurityKey(tempSecret), 
        SecurityAlgorithms.HmacSha256Signature
    )
};
var tempToken = tempTokenHandler.CreateToken(tempTokenDescriptor);
var tempTokenString = tempTokenHandler.WriteToken(tempToken);

以上两种方案都符合API无状态的设计原则，避免了Cookie依赖，同时保证了2FA验证过程的安全性。

内容的提问来源于stack exchange，提问作者thanzeel