ASP.NET MVC5中OpenIdConnect认证后如何自动注册用户？

你可以通过在OpenIdConnect认证流程中添加认证成功后的事件处理逻辑，自动提取OpenID服务器返回的用户标识并创建本地账户，无需用户手动注册。具体实现步骤如下：

1. 调整OpenIdConnect配置，获取用户标识并注册事件 #

首先修改你的OpenIdConnectAuthenticationOptions，添加必要的权限范围（Scope）以获取用户核心信息，同时注册SecurityTokenValidated事件——这个事件会在用户通过OpenID服务器认证成功后触发，用于处理自动账户创建逻辑。

修改后的配置代码：

app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions()
{
    Authority = "openid-server-domain.com",
    RedeemCode = true,
    SaveTokens = true,
    ResponseType = "code",
    ClientId = "***",
    ClientSecret = "***",
    RedirectUri = "https://localhost:55555/connect/redirect",
    PostLogoutRedirectUri = "/disconnect/sign-out",
    // 添加权限范围，确保获取用户唯一标识和基础信息
    Scope = "openid profile",
    Notifications = new OpenIdConnectAuthenticationNotifications
    {
        SecurityTokenValidated = async context =>
        {
            // 从认证结果中提取用户唯一标识（sub是OpenID标准的用户ID Claim）
            var userId = context.AuthenticationTicket.Identity.FindFirst(ClaimTypes.NameIdentifier)?.Value 
                         ?? context.AuthenticationTicket.Identity.FindFirst("sub")?.Value;

            if (string.IsNullOrEmpty(userId))
            {
                context.HandleResponse();
                context.Response.Redirect("/Error/InvalidAuth");
                return;
            }

            // 调用你的用户管理服务（示例用ASP.NET Identity的UserManager）
            var userManager = context.OwinContext.GetUserManager<ApplicationUserManager>();
            var existingUser = await userManager.FindByNameAsync(userId);

            // 如果用户不存在，自动创建本地账户
            if (existingUser == null)
            {
                existingUser = new ApplicationUser
                {
                    UserName = userId,
                    // 可从Claim中提取其他信息填充，比如邮箱、姓名
                    Email = context.AuthenticationTicket.Identity.FindFirst(ClaimTypes.Email)?.Value,
                    EmailConfirmed = true // 已通过OpenID服务器认证，直接标记邮箱验证完成
                };

                var createResult = await userManager.CreateAsync(existingUser);
                if (!createResult.Succeeded)
                {
                    context.HandleResponse();
                    context.Response.Redirect("/Error/CreateAccountFailed");
                    return;
                }
            }

            // 生成本地登录的身份标识，替换原OpenID身份
            var localIdentity = await userManager.CreateIdentityAsync(existingUser, DefaultAuthenticationTypes.ApplicationCookie);
            context.AuthenticationTicket = new AuthenticationTicket(localIdentity, context.AuthenticationTicket.Properties);
        }
    }
});

2. 确保用户管理组件正确配置 #

如果你使用ASP.NET Identity框架，需要确保ApplicationUserManager已注册到Owin上下文，通常在Startup.Auth.cs或IdentityConfig.cs中添加：

app.CreatePerOwinContext(ApplicationUserManager.Create);

3. 关键注意事项 #

• 用户标识适配：sub是OpenID Connect标准的用户唯一标识Claim，若你的私有OpenID服务器使用其他Claim名称，需替换为对应的键。
• 字段扩展：除用户名外，还可从认证返回的Claim中提取邮箱、姓名等信息，自动填充到本地账户，减少用户后续操作。
• 安全控制：自动创建的账户可默认设置基础权限，后续引导用户补充更多信息后再提升权限；确保私有OpenID服务器是可信来源，避免恶意认证请求。
• 错误处理：添加异常跳转逻辑，避免认证流程中出现错误导致用户卡在中间状态。

内容的提问来源于stack exchange，提问作者Jay