ASP.NET Core Identity添加脚手架后MFA验证码无效问题求助

1. 检查Identity Scaffolding生成的2FA核心代码 #

• 确认ManageController（或自定义管理控制器）中，生成2FA密钥和验证验证码的逻辑是否被错误修改：
  • 生成密钥环节：必须将生成的AuthenticatorKey持久化到用户实体并保存到数据库，若Scaffolding替换了默认方法，可能遗漏了保存步骤。
  • 验证环节：必须使用用户数据库中存储的密钥而非临时生成新密钥，否则会和手机端密钥不匹配导致验证失败。
• 关键代码参考：

  // 生成密钥后务必保存到用户实体
  user.AuthenticatorKey = _userManager.GenerateNewAuthenticatorKey();
  await _userManager.UpdateAsync(user);
  
  // 验证时调用官方方法，传入用户存储的密钥
  var isValid = await _userManager.VerifyTwoFactorTokenAsync(user, _userManager.Options.Tokens.AuthenticatorTokenProvider, code);
  

2. 数据库与用户实体一致性排查 #

• 改数据库位置后，确认AspNetUsers表的AuthenticatorKey字段存在且正常存储值：
  • 若使用Code-First，检查自定义ApplicationUser（继承IdentityUser）是否保留了AuthenticatorKey属性，Scaffolding生成的自定义用户实体可能遗漏该字段，导致密钥无法持久化。
  • 直接查看数据库中目标用户的AuthenticatorKey值，确认配置2FA后该字段有内容，验证时读取的是此值。

3. 验证Token Provider配置正确性 #

• 确认Program.cs/Startup.cs中Identity的2FA配置未被Scaffolding覆盖：

  builder.Services.AddDefaultIdentity<ApplicationUser>(options => options.SignIn.RequireConfirmedAccount = true)
      .AddEntityFrameworkStores<ApplicationDbContext>()
      .AddDefaultTokenProviders(); // 必须添加默认Token Providers，包含Authenticator的实现
  

• 若自定义了AuthenticatorTokenProvider，确保其时间步长（默认30秒）、哈希算法（默认SHA1）与Microsoft Authenticator保持一致。

4. 排查验证失败后的密钥重置逻辑 #

• 检查验证失败时是否误触发了密钥重置：比如自定义代码在验证失败后调用GenerateNewAuthenticatorKey，导致下次验证使用的密钥已变更，出现“验证失败就生成新验证码”的现象。
• 重点查看VerifyAuthenticatorCode方法，确认验证失败分支没有执行更新用户密钥的操作。

5. 最小复现场景测试 #

• 新建空白ASP.NET Core Identity项目，仅添加Identity Scaffolding，不修改数据库位置，测试2FA功能是否正常：
  • 若正常，逐步修改数据库位置，排查是连接字符串问题还是数据库迁移问题。
  • 若仍失效，对比Scaffolding生成代码与默认模板代码的差异，重点聚焦2FA相关的控制器和用户实体代码。

内容的提问来源于stack exchange，提问作者jmatte145