Duende IdentityServer 6如何判断密码登录与Cookie自动登录

完全可以实现两类登录场景的区分，Identity Server 6的原生流程已经预留了判断依据，不需要修改核心源码就能落地。

两类场景的本质差异 #

• 主动密码登录：用户手动在登录页输入用户名、密码提交，系统完成密码哈希校验后才会签发认证Cookie，整个流程会走完整的凭证校验逻辑
• Session Cookie自动登录：用户此前已经完成过认证，再次访问授权端点时，浏览器携带仍在有效期内的ASP.NET Core认证Cookie，系统直接从Cookie中解析用户身份，不需要用户重新输入任何凭证，全程不会触发密码校验逻辑

核心判断逻辑的代码位置 #

以下代码位置基于Duende Identity Server 6.3正式版本基准：

1. 自动登录场景的身份检查逻辑
   核心判断位于Duende.IdentityServer.Services.Default.DefaultIdentityServerInteractionService类的GetAuthorizationContextAsync方法中，在处理授权请求时会优先读取当前请求上下文的已认证用户身份：

   // 对应源码文件：DefaultIdentityServerInteractionService.cs 第237~249行
   var user = await _httpContextAccessor.HttpContext.GetIdentityServerUserAsync();
   if (user != null)
   {
       // 检测到有效认证Cookie，无需跳转登录页即可进入后续授权流程
       result.User = user;
   }
   

   这段逻辑就是自动登录场景的入口：只要这里能拿到有效的用户身份，且用户没有主动触发登出，就不会跳转到登录页要求输入密码。

2. 主动密码登录的逻辑入口
   Identity Server 6的官方UI模板中，密码校验的逻辑位于AccountController的LoginPOST动作中，只有用户提交登录表单后才会进入这段逻辑：

   // 对应官方模板文件：AccountController.cs 第182~212行
   var signInResult = await _signInManager.PasswordSignInAsync(
       input.UserName, 
       input.Password, 
       input.RememberLogin, 
       lockoutOnFailure: true
   );
   if (signInResult.Succeeded)
   {
       // 该分支即用户主动输入正确密码完成登录的场景
   }
   

落地区分的实现方式 #

不需要侵入核心代码，通过以下步骤就能实现全局场景识别：

• 在上述主动密码登录成功的分支里，给待签发的用户身份新增一个自定义声明，例如login_type = "credential"，和认证Cookie一起签发
• 后续无论是在授权端点、ProfileService还是令牌签发流程中，只需要检查当前用户身份是否携带这个声明：
  • 携带该声明：当前会话是用户主动输入密码完成的登录
  • 不携带该声明：当前会话是通过有效Session Cookie自动识别完成的登录
• 如果需要做全局拦截，可以实现自定义的IProfileService，在IsActiveAsync方法中统一判断登录类型，不需要在每个业务接口重复写逻辑

注意：不要直接修改Identity Server的核心库源码，通过官方预留的扩展点实现逻辑即可，不会影响后续的版本迭代升级。

内容的提问来源于stack exchange，提问作者Thomas HPunkt