ASP.NET Core Identity多登录类型及多认证状态配置咨询

一、支持多种登录方式（Email/Phone/Username/第三方Token） #

你的思路完全可行，ASP.NET Core Identity的UserLogin表正是为关联多登录提供商设计的，以下是具体实现步骤：

1. 定义自定义登录提供商标识 #

先统一定义登录提供商的名称常量，避免硬编码：

public static class LoginProviders
{
    public const string Email = "EmailLogin";
    public const string Phone = "PhoneLogin";
    public const string Username = "UsernameLogin";
    // 第三方登录用Identity自带的标识，比如Facebook、Twitter
}

2. 用户注册时关联多登录方式 #

用户注册完成后，将邮箱、手机号、用户名绑定到同一用户的UserLogin记录中：

var user = new ApplicationUser 
{ 
    UserName = model.Username, 
    Email = model.Email,
    PhoneNumber = model.PhoneNumber
};
var createResult = await _userManager.CreateAsync(user, model.Password);

if (createResult.Succeeded)
{
    // 绑定邮箱登录
    await _userManager.AddLoginAsync(user, new UserLoginInfo(LoginProviders.Email, model.Email, "Email"));
    // 绑定手机号登录
    await _userManager.AddLoginAsync(user, new UserLoginInfo(LoginProviders.Phone, model.PhoneNumber, "Phone"));
    // 绑定用户名登录（可选，也可直接用FindByNameAsync）
    await _userManager.AddLoginAsync(user, new UserLoginInfo(LoginProviders.Username, model.Username, "Username"));
}

3. 自定义登录逻辑，统一识别用户 #

在登录接口中，先判断用户输入的是邮箱、手机号还是用户名，再调用对应的查询方法：

ApplicationUser user = null;
var loginId = input.LoginId;

// 判断输入类型（可自行实现IsEmail/IsPhoneNumber方法）
if (IsEmail(loginId))
{
    user = await _userManager.FindByLoginAsync(LoginProviders.Email, loginId);
}
else if (IsPhoneNumber(loginId))
{
    user = await _userManager.FindByLoginAsync(LoginProviders.Phone, loginId);
}
else
{
    // 用户名登录：要么用FindByNameAsync，要么用自定义的Username登录提供商
    user = await _userManager.FindByNameAsync(loginId);
    // user = await _userManager.FindByLoginAsync(LoginProviders.Username, loginId);
}

// 验证密码并登录
if (user != null && await _userManager.CheckPasswordAsync(user, input.Password))
{
    // 生成认证凭证（Cookie或JWT，根据你的项目类型选择）
    await _signInManager.SignInAsync(user, input.RememberMe);
}

4. 第三方Token登录处理 #

第三方登录直接使用Identity自带的外部登录中间件，比如Facebook：

services.AddAuthentication()
    .AddFacebook(options =>
    {
        options.AppId = "你的AppId";
        options.AppSecret = "你的AppSecret";
    });

用户完成第三方授权后，Identity会自动将第三方的Provider和ProviderKey添加到UserLogin表中，无需额外处理。

二、实现三种认证状态（Public/Detected/Logged In） #

这个需求完全可行，核心是通过自定义Claims和授权策略来区分状态，以下是实现方案：

1. 定义认证状态枚举 #

public enum AuthStatus
{
    Public,
    Detected,
    LoggedIn
}

2. 处理不同状态的登录逻辑 #

Public状态

无需任何认证凭证，是系统的默认状态，对应未登录的访客。

Detected状态（已识别身份但未验证密码）

当用户通过邮箱/手机号验证码完成身份识别，但未输入密码时，生成临时认证凭证，标记状态为Detected：

// 假设已通过验证码验证了用户身份，获取到user对象
var claims = new List<Claim>
{
    new Claim(ClaimTypes.NameIdentifier, user.Id),
    new Claim("AuthStatus", AuthStatus.Detected.ToString())
};

// 使用临时认证Scheme（可提前配置）
var identity = new ClaimsIdentity(claims, "TempAuth");
var principal = new ClaimsPrincipal(identity);

// 临时登录，设置短过期时间
await _signInManager.SignInAsync(user, isPersistent: false, authenticationMethod: "TempAuth");

Logged In状态（已安全登录）

当用户输入密码验证通过，或从Detected状态升级时，生成正式认证凭证，标记状态为LoggedIn：

if (await _userManager.CheckPasswordAsync(user, input.Password))
{
    var claims = new List<Claim>
    {
        new Claim(ClaimTypes.NameIdentifier, user.Id),
        new Claim("AuthStatus", AuthStatus.LoggedIn.ToString()),
        // 可添加其他用户信息Claim
        new Claim(ClaimTypes.Email, user.Email)
    };

    var identity = new ClaimsIdentity(claims, "PasswordAuth");
    var principal = new ClaimsPrincipal(identity);

    await _signInManager.SignInAsync(user, input.RememberMe, authenticationMethod: "PasswordAuth");
}

3. 配置授权策略 #

通过授权策略限制不同状态的用户访问对应资源：

services.AddAuthorization(options =>
{
    options.AddPolicy("DetectedOnly", policy =>
        policy.RequireClaim("AuthStatus", AuthStatus.Detected.ToString()));
    
    options.AddPolicy("LoggedInOnly", policy =>
        policy.RequireClaim("AuthStatus", AuthStatus.LoggedIn.ToString()));
});

4. 在控制器/Action中使用授权 #

// Public状态：无需授权
public IActionResult PublicPage()
{
    return View();
}

// Detected状态可访问
[Authorize(Policy = "DetectedOnly")]
public IActionResult DetectedPage()
{
    return View();
}

// Logged In状态可访问
[Authorize(Policy = "LoggedInOnly")]
public IActionResult SecurePage()
{
    return View();
}

额外建议 #

• Detected状态的临时凭证建议设置较短的过期时间（比如15分钟），提升安全性。
• 可配置不同的CookieScheme来区分临时登录和正式登录，方便管理和清理。

内容的提问来源于stack exchange，提问作者Mark Redfern