修改密码或关闭标签页后登出用户功能失效问题咨询

问题根因 #

• SignOutAsync不生效：该方法依赖当前HTTP请求上下文生成清除认证Cookie的响应头，你将其放在业务服务层执行后，无法保证响应头能正确被带回浏览器，导致本地Cookie未被清除。
• 缺少全局状态校验：当前仅在登录后主动跳转密码修改页，未对所有已登录用户的请求做IsPasswordChanged状态校验，用户只要持有有效登录Cookie，就能直接访问其他页面绕过改密码流程。
• 附带逻辑bug：现有代码中CheckPasswordAsync传入的是新密码，判断逻辑是新密码不能和旧密码重复，但错误提示写为「当前密码不正确」，属于逻辑和提示不匹配的问题，需要修正。

修复方案 #

1. 修正登出逻辑 #

将登出操作从服务层移到Controller的ResetPassword方法中，确保上下文正确，修改后代码参考：

[HttpPost]
[ValidateAntiForgeryToken]
public async Task<IActionResult> ResetPassword(ResetPasswordInputModel model)
{
    if (!ModelState.IsValid)
    {
        return View(model);
    }

    var result = await _accountService.ResetPasswordAsync(model);

    if (!result.Succeeded)
    {
        foreach (var error in result.Errors)
        {
            ModelState.AddModelError(string.Empty, error.Description);
        }

        return View();
    }

    // 移到此处执行登出，确保能正确生成清除Cookie的响应头
    await _signInManager.SignOutAsync();
    await _events.RaiseAsync(new UserLogoutSuccessEvent(user.Id.ToString(), user.UserName));
    TempData["IsPasswordChanged"] = true;
    return RedirectToAction("Login", routeValues: new { ReturnUrl = model.ReturnUrl });
}


public async Task<IdentityResult> ResetPasswordAsync(ResetPasswordInputModel model)
{
    var user = await _userManager.FindByNameAsync(model.Username);
    var error = new IdentityError();
    if (user == null)
    {
        error.Description = "用户不存在";
        return IdentityResult.Failed(error);
    }

    var newPasswordSameAsOld = await _userManager.CheckPasswordAsync(user, model.NewPassword);
    if (newPasswordSameAsOld)
    {
        // 修正错误提示
        error.Description = "新密码不能与原密码相同";
        return IdentityResult.Failed(error);
    }

    var result = await _userManager.ChangePasswordAsync(user, model.CurrentPassword, model.NewPassword);
    if (result.Succeeded)
    {
        user.IsPasswordChanged = true;
        await _userManager.UpdateAsync(user); 
    }

    return result;
}

2. 新增全局密码修改拦截过滤器 #

新增全局Action过滤器，强制所有未修改初始密码的已登录用户跳转至密码修改页，避免绕过流程：

public class FirstTimePasswordChangeFilter : IAsyncActionFilter
{
    private readonly UserManager<你的用户实体类> _userManager;
    public FirstTimePasswordChangeFilter(UserManager<你的用户实体类> userManager)
    {
        _userManager = userManager;
    }

    public async Task OnActionExecutionAsync(ActionExecutingContext context, ActionExecutionDelegate next)
    {
        // 跳过不需要拦截的场景：未登录、密码重置/登录/登出接口、静态资源
        var path = context.HttpContext.Request.Path.Value;
        var allowPaths = new[] { "/Account/ResetPassword", "/Account/Login", "/Account/Logout" };
        if (!context.HttpContext.User.Identity.IsAuthenticated 
            || allowPaths.Any(p => path.StartsWith(p, StringComparison.OrdinalIgnoreCase))
            || path.StartsWith("/lib", StringComparison.OrdinalIgnoreCase)
            || path.StartsWith("/css", StringComparison.OrdinalIgnoreCase)
            || path.StartsWith("/js", StringComparison.OrdinalIgnoreCase))
        {
            await next();
            return;
        }

        var user = await _userManager.GetUserAsync(context.HttpContext.User);
        if (user != null && !user.IsPasswordChanged)
        {
            context.Result = new RedirectToActionResult("ResetPassword", "Account", null);
            return;
        }

        await next();
    }
}

在Program.cs中注册过滤器即可生效：

builder.Services.AddControllersWithViews(options =>
{
    options.Filters.Add<FirstTimePasswordChangeFilter>();
});

内容的提问来源于stack exchange，提问作者adym