Owin Context Username为空，如何从API控制器传UserId至授权服务提供者

一、为什么context.Username为空？ #

默认情况下，OAuth授权中间件会自动解析POST /token请求的form表单数据，从中读取username和password两个参数的值，分别赋值给context.Username和context.Password。从你的日志来看，请求的ContentType是application/x-www-form-urlencoded，但context.UserName为空，说明客户端在请求/token时，没有在form数据中传递username参数。

二、如何填充Username？ #

最直接的方式是让客户端在请求/token接口时，将需要的用户标识（比如你的UserId）作为username参数，通过form表单传递。示例请求格式如下：

POST /hisapi/token HTTP/1.1
Host: holmesdev.nam.nsroot.net:4321
Content-Type: application/x-www-form-urlencoded
Accept: application/json, text/plain, */*

username=你的UserId&password=用户密码&grant_type=password

⚠️ 注意：必须携带grant_type=password参数，否则OAuth中间件不会触发GrantResourceOwnerCredentials方法。

此时context.Username就会被自动填充为传递的UserId，你可以直接用它来获取角色并生成Claim：

public override async Task GrantResourceOwnerCredentials(OAuthGrantResourceOwnerCredentialsContext context)
{
    // 从context.Username拿到UserId
    var userId = context.Username;
    // 根据UserId获取用户角色（这里替换成你的业务逻辑）
    var userRoles = await GetUserRolesById(userId);

    // 创建身份标识并添加角色Claim
    var identity = new ClaimsIdentity(context.Options.AuthenticationType);
    identity.AddClaim(new Claim(ClaimTypes.Name, userId));
    foreach (var role in userRoles)
    {
        identity.AddClaim(new Claim(ClaimTypes.Role, role));
    }

    // 验证通过并生成票据
    context.Validated(new AuthenticationTicket(identity, new AuthenticationProperties()));
}

三、如何将控制器中的UserId传递到SimpleAuthorizationServerProvider？ #

如果你的业务逻辑要求必须先调用UpdateUserDetail接口，再获取Token，那么可以通过加密Cookie的方式在两个环节间传递UserId：

1. 在UpdateUserDetail控制器中存储加密后的UserId到Cookie

[Route("api/User/UpdateUserDetail")]
[HttpPost]
public HttpResponseMessage UpdateUserDetail(User userData)
{
    // 处理用户更新的业务逻辑
    // ...

    // 加密UserId（避免明文泄露，这里替换成你的加密方法）
    var encryptedUserId = EncryptUserId(userData.UserId.ToString());
    // 设置Cookie（仅HTTPS、HttpOnly，提升安全性）
    var cookieOptions = new CookieOptions
    {
        HttpOnly = true,
        Secure = true,
        Expires = DateTime.UtcNow.AddHours(1)
    };
    Request.GetOwinContext().Response.Cookies.Append("EncryptedUserId", encryptedUserId, cookieOptions);

    return Request.CreateResponse(HttpStatusCode.OK);
}

2. 在GrantResourceOwnerCredentials方法中读取并解密UserId

public override async Task GrantResourceOwnerCredentials(OAuthGrantResourceOwnerCredentialsContext context)
{
    // 从Cookie读取加密后的UserId
    var encryptedUserId = context.OwinContext.Request.Cookies["EncryptedUserId"];
    if (string.IsNullOrEmpty(encryptedUserId))
    {
        context.SetError("invalid_request", "请先调用UpdateUserDetail接口更新用户信息");
        return;
    }

    // 解密UserId（对应上面的加密方法）
    var userId = DecryptUserId(encryptedUserId);
    // 获取用户角色并生成Claim
    var userRoles = await GetUserRolesById(userId);

    var identity = new ClaimsIdentity(context.Options.AuthenticationType);
    identity.AddClaim(new Claim(ClaimTypes.Name, userId));
    foreach (var role in userRoles)
    {
        identity.AddClaim(new Claim(ClaimTypes.Role, role));
    }

    context.Validated(new AuthenticationTicket(identity, new AuthenticationProperties()));
}

内容的提问来源于stack exchange，提问作者SmartestVEGA