ASP.NET Core远程认证失败时如何获取用户身份？

当第三方认证提供商（如Twitter/X）返回403错误（账号封禁）时，无法直接从RemoteFailureContext中获取用户身份。原因是账号被封禁时，第三方提供商不会返回任何用户身份数据——认证流程在授权阶段就被终止，根本不会向你的应用传递用户的标识信息。

不过可以通过以下方案间接实现需求：

1. 提前存储临时关联信息 #

在用户发起第三方登录请求时，先建立一个临时的关联标识，绑定用户的邮箱信息（如果用户之前登录过，可从数据库中查询；如果是新用户，需要提前让用户输入邮箱），并将这个关联关系存入缓存（比如Redis、内存缓存）。

具体可以通过OnRedirectToIdentityProvider事件实现：

services.AddAuthentication()
        .AddTwitter(x => 
        {
            x.Events.OnRedirectToIdentityProvider = context =>
            {
                // 生成临时标识
                var tempId = Guid.NewGuid().ToString();
                // 获取用户邮箱：如果是已登录用户（比如绑定新认证方式时），可从context.HttpContext.User获取；如果是首次登录，需要提前让用户输入并存入会话
                var userEmail = context.HttpContext.Session.GetString("PendingLoginEmail");
                // 存入缓存，设置过期时间（比如15分钟，覆盖登录流程的超时时间）
                context.HttpContext.RequestServices.GetRequiredService<IDistributedCache>()
                    .SetStringAsync(tempId, userEmail, new DistributedCacheEntryOptions { AbsoluteExpirationRelativeToNow = TimeSpan.FromMinutes(15) });
                
                // 将临时标识作为状态参数传递给Twitter
                context.ProtocolMessage.State = tempId;
                return Task.CompletedTask;
            };

            x.Events.OnRemoteFailure = y =>
            {
                if (y.Failure is HttpRequestException request && request.StatusCode == HttpStatusCode.Forbidden)
                {
                    // 从状态参数中取出临时标识
                    var tempId = y.Properties.GetParameter<string>("state");
                    if (!string.IsNullOrEmpty(tempId))
                    {
                        // 从缓存中获取对应的邮箱
                        var userEmail = y.HttpContext.RequestServices.GetRequiredService<IDistributedCache>()
                            .GetStringAsync(tempId).Result;
                        if (!string.IsNullOrEmpty(userEmail))
                        {
                            // 发送引导邮件（这里替换成你的邮件发送逻辑）
                            var emailSender = y.HttpContext.RequestServices.GetRequiredService<IEmailSender>();
                            emailSender.SendEmailAsync(userEmail, "账号登录异常", "你的Twitter账号已被封禁，请使用Google/Microsoft账号登录并关联你的账号。");
                            // 删除缓存，避免重复使用
                            y.HttpContext.RequestServices.GetRequiredService<IDistributedCache>().RemoveAsync(tempId);
                        }
                    }
                }
                return Task.CompletedTask;
            };
        });

2. 针对首次登录用户的补充处理 #

如果是首次尝试登录的用户（还未绑定邮箱到你的应用），你需要在用户发起第三方登录前，先让用户输入邮箱地址并存入会话（HttpContext.Session），这样才能在登录失败时获取到邮箱发送通知。

3. 注意事项 #

• 缓存的过期时间要设置合理，建议覆盖第三方登录流程的最大超时时间，避免缓存数据长期堆积。
• 如果用户未提前提供邮箱（比如首次登录直接触发封禁），无法发送邮件，只能在登录失败页面显示提示，引导用户使用其他认证方式登录后完善信息。

内容的提问来源于stack exchange，提问作者Mike-E