ASP.NET Core 6.0 Identity双因素认证流程及页面跳转问题求助

核心问题分析 #

• 注册时直接将TwoFactorEnabled设为true是错误逻辑：该字段需在用户完成认证器配置后由系统启用，而非注册阶段强制开启。
• 登录时PasswordSignInAsync返回RequiresTwoFactor的前提是用户已开启双因素且完成认证器配置，若提前开启双因素却未配置，必然出现无验证码可用的矛盾。

正确流程调整 #

1. 注册阶段：取消强制开启双因素 #

修改注册页（Register.cshtml.cs）的用户创建逻辑，移除手动设置TwoFactorEnabled的代码：

var user = new IdentityUser { UserName = Input.Email, Email = Input.Email };
// 移除此行：user.TwoFactorEnabled = true;
var result = await _userManager.CreateAsync(user, Input.Password);

2. 登录阶段：区分配置状态跳转页面 #

在Login.cshtml.cs的OnPostAsync方法中，新增判断逻辑，根据用户是否已配置认证器，决定跳转至验证码输入页或认证器配置页：

public async Task<IActionResult> OnPostAsync(string returnUrl = null)
{
    returnUrl ??= Url.Content("~/");

    ExternalLogins = (await _signInManager.GetExternalAuthenticationSchemesAsync()).ToList();

    if (ModelState.IsValid)
    {
        var result = await _signInManager.PasswordSignInAsync(Input.Email, Input.Password, Input.RememberMe, lockoutOnFailure: false);

        if (result.Succeeded)
        {
            _logger.LogInformation("User logged in.");
            string url = $"{stringeGrantsURL}{"?UserToken="}{jwtToken}";
            return Redirect(url);
        }

        if (result.RequiresTwoFactor)
        {
            var user = await _userManager.FindByEmailAsync(Input.Email);
            if (user != null)
            {
                // 判断用户是否已生成认证器密钥（即完成配置初始化）
                var authenticatorKey = await _userManager.GetAuthenticatorKeyAsync(user);
                if (string.IsNullOrEmpty(authenticatorKey))
                {
                    // 未配置认证器：先完成用户登录，再跳转至配置页面
                    await _signInManager.SignInAsync(user, Input.RememberMe);
                    return RedirectToPage("./EnableAuthenticator", new { ReturnUrl = returnUrl });
                }
                else
                {
                    // 已配置认证器：跳转至验证码输入页
                    return RedirectToPage("./LoginWith2fa", new { ReturnUrl = returnUrl, RememberMe = Input.RememberMe });
                }
            }
            ModelState.AddModelError(string.Empty, "用户不存在");
            return Page();
        }

        if (result.IsLockedOut)
        {
            _logger.LogWarning("User account locked out.");
            return RedirectToPage("./Lockout");
        }
        else
        {
            ModelState.AddModelError(string.Empty, "Invalid login attempt.");
            return Page();
        }
    }

    return Page();
}

3. 修复EnableAuthenticator页面重定向问题 #

默认EnableAuthenticator.cshtml.cs配置完成后会跳转至TwoFactorAuthentication页面，可修改为跳转到目标页面：

// 在OnPostAsync方法末尾替换原跳转逻辑
// 原代码：return RedirectToPage("./TwoFactorAuthentication");
return LocalRedirect(returnUrl ?? Url.Content("~/"));

同时确保页面仅允许已登录用户访问，检查页面类的授权属性：

[Authorize]
public class EnableAuthenticatorModel : PageModel
{
    // 原有代码...
}

关键说明 #

• TwoFactorEnabled字段无需手动设置，由_userManager.SetTwoFactorEnabledAsync(user, true)在认证器配置完成时自动启用。
• GetAuthenticatorKeyAsync(user)返回非空值，说明用户已进入过认证器配置流程，此时才需要输入验证码验证。

内容的提问来源于stack exchange，提问作者Massey