如何在IdentityServer4资源所有者密码流中自定义登录错误提示？

这个问题其实是IdentityServer4的默认安全设计导致的——为了避免攻击者通过错误信息枚举有效用户名，它会把所有登录失败的情况统一返回invalid_username_or_password。不过如果你确实需要区分不同的失败场景，我们可以通过自定义资源所有者密码验证器来覆盖默认行为，具体实现步骤如下：

1. 创建自定义资源所有者密码验证器 #

实现IResourceOwnerPasswordValidator接口，在这个类里我们可以借助ASP.NET Identity的UserManager和SignInManager来细粒度检查登录失败的原因：

using IdentityServer4.Validation;
using Microsoft.AspNetCore.Identity;
using System.Threading.Tasks;

public class CustomResourceOwnerPasswordValidator : IResourceOwnerPasswordValidator
{
    private readonly UserManager<User> _userManager;
    private readonly SignInManager<User> _signInManager;

    public CustomResourceOwnerPasswordValidator(UserManager<User> userManager, SignInManager<User> signInManager)
    {
        _userManager = userManager;
        _signInManager = signInManager;
    }

    public async Task ValidateAsync(ResourceOwnerPasswordValidationContext context)
    {
        // 1. 根据用户名查找用户
        var user = await _userManager.FindByNameAsync(context.UserName);
        if (user == null)
        {
            context.Result = new GrantValidationResult(TokenRequestErrors.InvalidGrant, "user_not_found");
            return;
        }

        // 2. 检查用户是否被锁定
        if (await _userManager.IsLockedOutAsync(user))
        {
            context.Result = new GrantValidationResult(TokenRequestErrors.InvalidGrant, "user_locked_out");
            return;
        }

        // 3. 检查用户是否处于禁用/未确认状态（根据你的业务需求调整）
        if (!await _userManager.IsEmailConfirmedAsync(user) || !user.IsActive)
        {
            context.Result = new GrantValidationResult(TokenRequestErrors.InvalidGrant, "user_disabled_or_unconfirmed");
            return;
        }

        // 4. 验证密码是否正确
        var isPasswordValid = await _userManager.CheckPasswordAsync(user, context.Password);
        if (!isPasswordValid)
        {
            // 记录登录失败次数，触发Identity的锁定机制
            await _userManager.AccessFailedAsync(user);
            context.Result = new GrantValidationResult(TokenRequestErrors.InvalidGrant, "invalid_password");
            return;
        }

        // 5. 登录成功，重置失败次数
        await _userManager.ResetAccessFailedCountAsync(user);
        context.Result = new GrantValidationResult(
            subject: user.Id.ToString(),
            authenticationMethod: OidcConstants.AuthenticationMethods.Password
        );
    }
}

2. 替换IdentityServer的默认验证器 #

在你配置IdentityServer的代码中，添加自定义验证器的注册，覆盖默认的实现：

var builder = services.AddIdentityServer()
    .AddInMemoryIdentityResources(Config.IdentityResources)
    .AddInMemoryApiResources(Config.Apis)
    .AddInMemoryClients(Config.Clients)
    .AddAspNetIdentity<User>()
    .AddResourceOwnerValidator<CustomResourceOwnerPasswordValidator>(); // 注册自定义验证器

注意事项 #

• 安全权衡：返回具体的错误信息（比如user_not_found）可能让攻击者更容易枚举有效用户名，如果你有这方面的安全顾虑，可以将用户不存在和密码错误合并为同一个模糊提示，只在后台日志中记录具体原因。
• 用户实体字段：确保你的User实体包含Identity锁定机制所需的字段（如AccessFailedCount、LockoutEnd、LockoutEnabled），这些字段是ASP.NET Identity的默认字段，只要你使用EntityFrameworkStores，通常会自动生成。

内容的提问来源于stack exchange，提问作者Farid Fereidooni