ASP.NET Core Identity如何实现带重定向的双因素认证？

初始实现的合理性判断 #

你的ExternalTokenProvider方案可以临时工作，但确实属于对IUserTwoFactorTokenProvider接口的非常规误用：

• 该接口的设计初衷是生成用于验证的字符串令牌，而非跳转URL，违背了接口语义，后续维护时容易让其他开发者混淆逻辑。
• 依赖GenerateAsync返回URL的方式，可能会和ASP.NET Identity内部的2FA流程逻辑产生冲突（比如后续框架更新时对令牌格式的校验）。

如果是小型项目或临时需求，这种方案能快速落地，但长期来看不够规范，建议采用更贴合流程语义的扩展方式。

更优方案：自定义2FA挑战与回调流程 #

既然第三方2FA需要重定向跳转，完全可以绕过IUserTwoFactorTokenProvider接口，直接在登录流程中自定义挑战逻辑，既保留ASP.NET Identity对用户2FA状态的管理，又适配第三方的跳转需求。核心思路是：

1. 在登录流程中触发第三方2FA挑战

验证用户名密码后，当Identity判定用户需要2FA时，生成唯一挑战标识并保存登录上下文，直接重定向到第三方2FA页面：

public async Task<IActionResult> OnPostAsync(string returnUrl = null)
{
    returnUrl ??= Url.Content("~/");

    if (ModelState.IsValid)
    {
        var result = await _signInManager.PasswordSignInAsync(Input.Email, Input.Password, Input.RememberMe, lockoutOnFailure: false);
        if (result.RequiresTwoFactor)
        {
            var user = await _userManager.FindByEmailAsync(Input.Email);
            // 生成唯一挑战ID，用于后续验证关联
            var challengeId = Guid.NewGuid().ToString();
            // 将登录上下文存入分布式缓存（避免Session过期或集群环境问题）
            await _distributedCache.SetStringAsync(challengeId, JsonSerializer.Serialize(new
            {
                UserId = user.Id,
                ReturnUrl = returnUrl,
                RememberMe = Input.RememberMe
            }), new DistributedCacheEntryOptions 
            { 
                AbsoluteExpirationRelativeToNow = TimeSpan.FromMinutes(15) 
            });

            // 构造第三方2FA跳转URL，携带必要参数
            var external2faUrl = $"https://2fa.example.com?user={Uri.EscapeDataString(user.Id)}&challengeId={Uri.EscapeDataString(challengeId)}";
            return Redirect(external2faUrl);
        }
        // 处理其他登录结果（成功、失败、锁定等）
    }

    return Page();
}

2. 实现第三方2FA回调端点

用户在第三方完成验证后，跳转回你的自定义回调端点，验证第三方返回的结果，确认通过后完成登录：

[HttpGet("External2faCallback")]
public async Task<IActionResult> External2faCallback(string challengeId, string token)
{
    // 从缓存获取登录上下文
    var contextJson = await _distributedCache.GetStringAsync(challengeId);
    if (string.IsNullOrEmpty(contextJson))
    {
        ModelState.AddModelError(string.Empty, "2FA挑战已过期，请重新登录");
        return RedirectToPage("/Account/Login");
    }

    var context = JsonSerializer.Deserialize<External2faContext>(contextJson);
    var user = await _userManager.FindByIdAsync(context.UserId);
    if (user == null) return NotFound();

    // 调用第三方API验证令牌有效性
    var isValid = await ValidateExternalToken(challengeId, token, user.Id);
    if (!isValid)
    {
        ModelState.AddModelError(string.Empty, "2FA验证失败，请重试");
        return RedirectToPage("/Account/Login");
    }

    // 完成登录流程
    await _signInManager.SignInAsync(user, context.RememberMe);
    await _distributedCache.RemoveAsync(challengeId); // 清理缓存
    return Redirect(context.ReturnUrl);
}

// 第三方验证逻辑示例
private async Task<bool> ValidateExternalToken(string challengeId, string token, string userId)
{
    using var client = new HttpClient();
    var response = await client.GetAsync($"https://2fa.example.com/validate?challengeId={Uri.EscapeDataString(challengeId)}&token={Uri.EscapeDataString(token)}&user={Uri.EscapeDataString(userId)}");
    return response.IsSuccessStatusCode && await response.Content.ReadFromJsonAsync<bool>();
}

// 上下文辅助类
public class External2faContext
{
    public string UserId { get; set; }
    public string ReturnUrl { get; set; }
    public bool RememberMe { get; set; }
}

3. 保留Identity的2FA状态管理

这种方案依然依赖UserManager.GetTwoFactorEnabledAsync来判断用户是否需要2FA，完全保留了ASP.NET Identity对用户2FA状态的管理能力，同时避免了对IUserTwoFactorTokenProvider接口的误用。

方案对比 #

内容的提问来源于stack exchange，提问作者Simmetric