使用ASP.NET Identity实现外部（谷歌、微软）登录：两种方案对比与选型建议

核心区别 #

1. 通过ASP.NET Identity实现外部登录 #

• 实现层级：在ASP.NET Identity的用户管理层完成，让ASP.NET Identity直接对接Google、Facebook这类外部身份提供商。
• 流程逻辑：用户登录时跳转到ASP.NET Identity的外部登录端点，由它处理和外部提供商的交互（请求授权、拿token、解析用户信息），之后把外部用户信息映射到本地ASP.NET Identity的用户实体，完成本地账号关联。
• 适用场景：如果你的系统主要依赖ASP.NET Identity的用户体系，希望所有身份逻辑（包括外部登录）都由它统一管控，这种方式更贴合原生体验。
• 代码特征：一般会调用AddAuthentication().AddGoogle()这类ASP.NET Identity原生扩展，在AccountController里处理ExternalLogin、ExternalLoginCallback这类动作。

2. 通过IdentityServer（AddOpenIdConnect）实现外部登录 #

• 实现层级：在IdentityServer的身份认证服务层完成，把外部身份提供商作为IdentityServer的上游身份源。
• 流程逻辑：用户登录时先访问IdentityServer的登录页面，选完外部提供商后，由IdentityServer作为中间层和外部提供商完成OIDC交互，拿到用户身份信息后，再传给ASP.NET Identity做本地用户关联或创建。
• 适用场景：当你需要给多个客户端（比如SPA、MVC应用、API）提供统一的外部登录入口，或者希望IdentityServer管控所有身份认证流程（比如外部登录的权限范围）时，这种方式更合适。
• 代码特征：会在IdentityServer的配置里调用AddOpenIdConnect("Google", options => { ... })，把外部提供商配置成IdentityServer的一个身份认证方案，登录逻辑由IdentityServer的交互页面触发。

推荐方案 #

• 如果是单一应用，且核心围绕ASP.NET Identity构建，优先选ASP.NET Identity实现的方式，逻辑更简洁，贴合原生用户管理流程。
• 如果是多客户端架构（比如多个前端、API需要统一认证入口），或者需要IdentityServer统一管控所有身份规则，优先选IdentityServer（AddOpenIdConnect）的方式，能实现更统一的身份体验，也符合IdentityServer作为身份网关的定位。

内容的提问来源于stack exchange，提问作者Christian Riedl