ASP.NET Core WebAPI对接React/Android的Google+Facebook认证实现咨询

一、联邦认证核心运作流程 #

先明确标准的第三方登录流程，帮你理清逻辑：

• 前端/移动端向Google/Facebook发起授权请求，用户同意授权后拿到第三方平台签发的access token
• 端侧把access token + token对应的提供商标识 一起传给后端WebAPI
• 后端拿到参数后调用对应第三方的token校验接口，验证token的合法性、校验签发对象是不是你的应用，防止伪造请求
• 校验通过后，后端提取token里的用户唯一标识、邮箱、昵称等信息，和你自己的用户体系做绑定/查询，然后生成你自己服务的JWT或者会话凭证返回给端侧，后续端侧就用你自己的凭证调用接口即可

二、如何区分token对应哪个校验逻辑 #

完全不需要解析token判断所属平台，靠前后端约定传参即可，是成本最低、最稳妥的方案：

• 端侧请求后端登录接口时，必须额外传一个provider字段，枚举值固定为google或者facebook，后端直接根据这个字段走对应校验逻辑即可

不要尝试靠token格式猜提供商，Google和Facebook的token格式都可能调整，约定传参是唯一不会出错的方案。

三、ASP.NET Core侧具体实现步骤 #

步骤1：安装依赖包 #

Google校验官方提供了专用SDK，Facebook校验直接用原生HttpClient即可，无需额外SDK。先安装Google的Nuget包：

dotnet add package Google.Apis.Auth

步骤2：配置第三方应用凭证 #

在appsettings.json中添加你在对应平台申请的应用凭证：

"AuthSettings": {
  "GoogleClientId": "你的Google Cloud控制台Client ID",
  "FacebookAppId": "你的Facebook开发者平台App ID",
  "FacebookAppSecret": "你的Facebook开发者平台App Secret"
}

写对应配置类做绑定，在Program.cs中注册：

// 配置类定义
public class AuthSettings
{
    public string GoogleClientId { get; set; }
    public string FacebookAppId { get; set; }
    public string FacebookAppSecret { get; set; }
}

// Program.cs中添加绑定逻辑
builder.Services.Configure<AuthSettings>(builder.Configuration.GetSection("AuthSettings"));

步骤3：实现登录接口和核心校验逻辑 #

首先定义登录接口的请求DTO：

public class ThirdPartyLoginDto
{
    // 约定值为google/facebook即可
    public string Provider { get; set; }
    public string AccessToken { get; set; }
}

编写接口核心逻辑：

[HttpPost("third-party-login")]
public async Task<IActionResult> ThirdPartyLogin([FromBody] ThirdPartyLoginDto dto, [FromServices] IOptions<AuthSettings> authSettings)
{
    string openId = null;
    string userEmail = null;
    string userName = null;

    // 根据provider走对应校验逻辑
    if (dto.Provider.Equals("google", StringComparison.OrdinalIgnoreCase))
    {
        // Google token校验
        try
        {
            var payload = await GoogleJsonWebSignature.ValidateAsync(dto.AccessToken, new GoogleJsonWebSignature.ValidationSettings
            {
                Audience = new[] { authSettings.Value.GoogleClientId }
            });
            openId = payload.Subject;
            userEmail = payload.Email;
            userName = payload.Name;
        }
        catch (InvalidJwtException)
        {
            return Unauthorized("Google token无效");
        }
    }
    else if (dto.Provider.Equals("facebook", StringComparison.OrdinalIgnoreCase))
    {
        // Facebook token校验
        using var httpClient = new HttpClient();
        var debugTokenUrl = $"https://graph.facebook.com/debug_token?input_token={dto.AccessToken}&access_token={authSettings.Value.FacebookAppId}|{authSettings.Value.FacebookAppSecret}";
        var response = await httpClient.GetFromJsonAsync<FacebookDebugTokenResponse>(debugTokenUrl);
        if (response?.Data == null || !response.Data.IsValid || response.Data.AppId != authSettings.Value.FacebookAppId)
        {
            return Unauthorized("Facebook token无效");
        }
        openId = response.Data.UserId;
        // 如需获取邮箱、昵称等信息，再调用用户信息接口
        var userInfoUrl = $"https://graph.facebook.com/me?access_token={dto.AccessToken}&fields=id,name,email";
        var userInfo = await httpClient.GetFromJsonAsync<FacebookUserInfoResponse>(userInfoUrl);
        userEmail = userInfo?.Email;
        userName = userInfo?.Name;
    }
    else
    {
        return BadRequest("不支持的登录提供商");
    }

    // 这里实现你自己的用户逻辑：根据openId+provider查询你的用户表，不存在则自动注册，存在则返回已有用户信息
    var yourAppUser = await GetOrCreateUser(openId, dto.Provider, userEmail, userName);
    // 生成你自己服务的JWT token返回给前端，后续所有接口都用你自己的token做认证
    var yourAppToken = GenerateJwtToken(yourAppUser);
    return Ok(new { Token = yourAppToken, UserInfo = yourAppUser });
}

// Facebook返回结构定义，可根据你需要的字段调整
public class FacebookDebugTokenResponse
{
    public FacebookDebugTokenData Data { get; set; }
}
public class FacebookDebugTokenData
{
    public bool IsValid { get; set; }
    public string AppId { get; set; }
    public string UserId { get; set; }
}
public class FacebookUserInfoResponse
{
    public string Id { get; set; }
    public string Name { get; set; }
    public string Email { get; set; }
}

步骤4：后续业务接口认证 #

后续所有业务接口正常使用你自己生成的JWT做认证即可，不需要再处理第三方token。

四、是否推荐使用Identity Server4 #

首先明确：Identity Server4已经停止官方维护，官方现在推荐的替代方案是Duende IdentityServer。
针对你的场景，完全没必要引入这类重型认证框架：

• 你的需求非常轻量，只是校验两个第三方的token，几十行代码就能原生实现，引入框架只会增加额外的复杂度和维护成本
• 如果你后续有扩展需求，比如要支持更多第三方登录、要做跨应用SSO、要给多套客户端提供统一认证服务，再考虑使用Duende IdentityServer即可。

内容的提问来源于stack exchange，提问作者Alen Smith