基于ASP.NET 8.0 Core的MAUI应用身份认证方案咨询

一、用户名密码注册/登录接口的最佳实践评估 #

你拟创建的用户名密码注册、登录接口方案本身可行，但需遵循以下最佳实践以保障安全和规范：

• 强制HTTPS传输：所有接口必须通过HTTPS访问，杜绝明文传输用户名密码与Token
• 复用ASP.NET Core Identity内置能力：不要从零实现注册/登录逻辑，直接借助UserManager、SignInManager完成操作——注册调用CreateAsync（自带密码哈希、强度校验），登录调用CheckPasswordSignInAsync，避免重复造轮子
• 返回JWT而非敏感信息：登录成功后返回包含用户标识、权限声明的JWT，MAUI后续通过Authorization: Bearer {Token}请求API；禁止返回用户明文密码或其他敏感数据
• 添加安全防护：
  • 登录接口启用速率限制（Rate Limiting），防止暴力破解
  • 注册接口通过Identity的PasswordValidator配置密码强度校验规则
  • 错误返回明确HTTP状态码：如用户名已存在返回400，登录失败返回401，避免泄露系统细节
• 支持刷新Token：为JWT设置合理过期时间，并提供刷新Token接口，让MAUI无需重复登录即可续期

二、MAUI中实现Microsoft/Google外部认证并验证系统用户 #

MAUI跨平台场景下推荐使用WebAuthenticator组件处理外部OAuth认证，具体步骤如下：

1. 配置外部登录提供商的MAUI应用 #

• Microsoft：在Azure AD注册MAUI应用，获取Client ID，配置重定向URI（格式为msal{ClientId}://auth），并确保应用权限包含openid、email、profile
• Google：在Google Cloud Console注册MAUI应用，获取Client ID，配置重定向URI（格式为com.googleusercontent.apps.{ClientId}:/oauth2redirect），启用Google Identity API

2. MAUI中发起外部认证请求 #

通过WebAuthenticator调用提供商授权端点，获取用于身份认证的ID Token：

Microsoft登录示例代码

using Microsoft.Maui.Authentication;

var clientId = "你的Azure AD Client ID";
var redirectUri = $"msal{clientId}://auth";

var authResult = await WebAuthenticator.AuthenticateAsync(
    new Uri($"https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id={clientId}&response_type=id_token&scope=openid email profile&redirect_uri={redirectUri}"),
    new Uri(redirectUri));

// 提取ID Token
var idToken = authResult.Properties["id_token"];

Google登录示例代码

using Microsoft.Maui.Authentication;

var clientId = "你的Google Client ID";
var redirectUri = $"com.googleusercontent.apps.{clientId}:/oauth2redirect";

var authResult = await WebAuthenticator.AuthenticateAsync(
    new Uri($"https://accounts.google.com/o/oauth2/v2/auth?client_id={clientId}&response_type=id_token&scope=openid email profile&redirect_uri={redirectUri}"),
    new Uri(redirectUri));

// 提取ID Token
var idToken = authResult.Properties["id_token"];

3. 后端验证ID Token并查询系统用户 #

在ASP.NET Core后端创建接口，接收MAUI传来的ID Token，完成以下操作：

• 验证Token合法性：校验Token的签名、颁发者（Issuer）、受众（Audience）、过期时间等
• 查询系统用户：从Token中提取用户邮箱（或唯一标识），通过UserManager.FindByEmailAsync查询系统中是否存在该用户
• 返回认证结果：
  • 用户存在：生成系统JWT返回给MAUI，用于后续API请求
  • 用户不存在：返回提示信息，引导用户完成注册（或根据业务自动创建用户）

后端验证接口示例代码

using Microsoft.AspNetCore.Identity;
using Microsoft.IdentityModel.Tokens;
using System.IdentityModel.Tokens.Jwt;
using System.Security.Claims;

[ApiController]
[Route("api/auth")]
public class AuthController : ControllerBase
{
    private readonly UserManager<IdentityUser> _userManager;
    private readonly IConfiguration _configuration;

    public AuthController(UserManager<IdentityUser> userManager, IConfiguration configuration)
    {
        _userManager = userManager;
        _configuration = configuration;
    }

    [HttpPost("external-validate")]
    public async Task<IActionResult> ValidateExternalToken([FromBody] ExternalTokenRequest request)
    {
        TokenValidationParameters validationParams;
        if (request.Provider == "Microsoft")
        {
            validationParams = new TokenValidationParameters
            {
                ValidateIssuer = true,
                ValidIssuer = "https://login.microsoftonline.com/common/v2.0",
                ValidateAudience = true,
                ValidAudience = _configuration["Authentication:Microsoft:ClientId"],
                ValidateLifetime = true,
                IssuerSigningKeys = await GetMicrosoftSigningKeysAsync()
            };
        }
        else if (request.Provider == "Google")
        {
            validationParams = new TokenValidationParameters
            {
                ValidateIssuer = true,
                ValidIssuer = "https://accounts.google.com",
                ValidateAudience = true,
                ValidAudience = _configuration["Authentication:Google:ClientId"],
                ValidateLifetime = true,
                IssuerSigningKeys = await GetGoogleSigningKeysAsync()
            };
        }
        else
        {
            return BadRequest("不支持的认证提供商");
        }

        var handler = new JwtSecurityTokenHandler();
        try
        {
            ClaimsPrincipal principal = handler.ValidateToken(request.IdToken, validationParams, out _);
            string email = principal.FindFirstValue(ClaimTypes.Email);

            if (string.IsNullOrEmpty(email))
            {
                return BadRequest("无法获取用户邮箱");
            }

            // 查询系统用户
            IdentityUser? user = await _userManager.FindByEmailAsync(email);
            if (user == null)
            {
                return NotFound("用户不存在，请完成注册");
            }

            // 生成系统JWT
            string jwtToken = GenerateSystemJwt(user);
            return Ok(new { Token = jwtToken });
        }
        catch
        {
            return Unauthorized("Token验证失败");
        }
    }

    private async Task<IEnumerable<SecurityKey>> GetMicrosoftSigningKeysAsync()
    {
        var httpClient = new HttpClient();
        var response = await httpClient.GetAsync("https://login.microsoftonline.com/common/discovery/v2.0/keys");
        var jwks = await response.Content.ReadFromJsonAsync<JsonWebKeySet>();
        return jwks!.Keys;
    }

    private async Task<IEnumerable<SecurityKey>> GetGoogleSigningKeysAsync()
    {
        var httpClient = new HttpClient();
        var response = await httpClient.GetAsync("https://www.googleapis.com/oauth2/v3/certs");
        var jwks = await response.Content.ReadFromJsonAsync<JsonWebKeySet>();
        return jwks!.Keys;
    }

    private string GenerateSystemJwt(IdentityUser user)
    {
        var claims = new List<Claim>
        {
            new Claim(ClaimTypes.NameIdentifier, user.Id),
            new Claim(ClaimTypes.Email, user.Email!)
        };

        var key = new SymmetricSecurityKey(System.Text.Encoding.UTF8.GetBytes(_configuration["Jwt:Key"]!));
        var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);

        var token = new JwtSecurityToken(
            issuer: _configuration["Jwt:Issuer"],
            audience: _configuration["Jwt:Audience"],
            claims: claims,
            expires: DateTime.Now.AddHours(1),
            signingCredentials: creds);

        return new JwtSecurityTokenHandler().WriteToken(token);
    }
}

public class ExternalTokenRequest
{
    public string Provider { get; set; } = string.Empty;
    public string IdToken { get; set; } = string.Empty;
}

4. MAUI处理认证结果 #

• 将后端返回的系统JWT存储到SecureStorage（MAUI安全存储组件），禁止明文存储
• 后续API请求时，在请求头中添加Authorization: Bearer {Token}
• 若用户不存在，跳转到注册页面，收集必要信息后调用后端注册接口完成用户创建

内容的提问来源于stack exchange，提问作者Enrico