如何通过OpenIdConnect上下文对象拒绝不符合规则的外部认证尝试？

你的思路方向是对的，但直接抛出异常不是处理这类场景的最佳实践，更规范的做法是利用OpenID Connect事件上下文的方法来标记认证请求不被允许，这样框架会按照正常的认证拒绝流程处理，避免未捕获异常的问题。

为什么不推荐直接抛异常 #

直接抛出异常会触发未处理的错误流程，不仅需要额外的异常捕获逻辑来处理用户反馈，还会在日志中留下错误堆栈信息，这不属于正常的认证拒绝场景，既影响用户体验也不利于日志排查。

正确实现：用context.Fail()终止认证 #

在OnUserInformationReceived事件中，你可以调用context.Fail(string errorMessage)方法来明确标记认证失败，框架会自动处理后续的拒绝流程，返回符合规范的认证错误响应。

修改后的代码示例：

builder.AddOpenIdConnect(
   authenticationScheme: clientId,
   displayName: displayName,
   options =>
   {
      // 其他OIDC配置（如Authority、ClientId等）...

      var allowedEmailDomains = openIdConnectLoginProvider["AllowedEmailDomains"]?.Split(',');

      if (allowedEmailDomains != null && allowedEmailDomains.Any())
      {
         options.Events = new OpenIdConnectEvents()
         {
            OnUserInformationReceived = (context) =>
            { 
               // 从用户声明中提取邮箱
               var email = context.Principal.FindFirstValue(ClaimTypes.Email);
               if (string.IsNullOrEmpty(email))
               {
                   // 无邮箱声明，直接拒绝
                   context.Fail("登录需要邮箱信息");
                   return Task.CompletedTask;
               }

               var emailDomain = email.Split('@').LastOrDefault();
               if (!allowedEmailDomains.Contains(emailDomain, StringComparer.OrdinalIgnoreCase))
               {
                   // 邮箱域名不在允许列表内，拒绝认证
                   context.Fail($"不允许使用{emailDomain}域名的邮箱登录");
               }

               return Task.CompletedTask;
            }
         };
      }
   });

额外说明 #

• context.Fail()传入的错误消息会被记录到认证日志中，方便后续排查问题。
• 这种验证属于认证阶段的前置检查，比后续的授权验证更高效，能在认证完成前就终止不符合规则的请求。
• 如果多个提供商有不同的邮箱规则，确保每个提供商的allowedEmailDomains独立配置，避免规则混淆。

内容的提问来源于stack exchange，提问作者onixion