如何禁止已完成2FA配置的用户访问EnableAuthenticator页面？

要禁止已完成2FA配置的用户访问EnableAuthenticator页面，你可以直接在页面的后台逻辑中添加用户2FA状态检查，具体步骤如下：

1. 限制GET请求访问 #

打开EnableAuthenticator.cshtml.cs文件，在OnGetAsync方法开头添加用户2FA状态检查逻辑：

public async Task<IActionResult> OnGetAsync()
{
    var user = await _userManager.GetUserAsync(User);
    if (user == null)
    {
        return NotFound($"无法加载用户 ID '{_userManager.GetUserId(User)}'。");
    }

    // 新增：检查用户是否已启用2FA，若是则直接重定向
    if (await _userManager.GetTwoFactorEnabledAsync(user))
    {
        // 可根据业务需求重定向到合适页面，比如2FA管理页或用户中心
        return RedirectToPage("./TwoFactorAuthentication");
    }

    // 保留原有页面逻辑
    var authenticatorUri = await _userManager.GetAuthenticatorKeyAsync(user);
    if (string.IsNullOrEmpty(authenticatorUri))
    {
        await _userManager.ResetAuthenticatorKeyAsync(user);
        authenticatorUri = await _userManager.GetAuthenticatorKeyAsync(user);
    }

    Model = new EnableAuthenticatorViewModel
    {
        SharedKey = FormatKey(authenticatorUri),
        AuthenticatorUri = GenerateQrCodeUri(user.Email, authenticatorUri)
    };

    return Page();
}

2. 同步限制POST请求 #

为避免攻击者通过POST请求绕过GET检查，在OnPostAsync方法开头添加相同的2FA状态校验：

public async Task<IActionResult> OnPostAsync()
{
    var user = await _userManager.GetUserAsync(User);
    if (user == null)
    {
        return NotFound($"无法加载用户 ID '{_userManager.GetUserId(User)}'。");
    }

    // 新增：检查用户是否已启用2FA
    if (await _userManager.GetTwoFactorEnabledAsync(user))
    {
        return RedirectToPage("./TwoFactorAuthentication");
    }

    // 保留原有POST逻辑
    if (!ModelState.IsValid)
    {
        await LoadSharedKeyAndQrCodeUriAsync(user);
        return Page();
    }

    // ... 其余原有代码
}

3. 确认页面的基础授权限制 #

确保EnableAuthenticator.cshtml.cs类顶部存在[Authorize]特性，拦截未登录的匿名用户访问：

[Authorize]
public class EnableAuthenticatorModel : PageModel
{
    // 类内部逻辑...
}

完成以上配置后，已启用2FA的用户访问EnableAuthenticator页面时会被自动重定向，同时匿名用户也无法直接进入该页面，彻底解决你提到的安全问题。

内容的提问来源于stack exchange，提问作者Tom