能否在AuthenticateLocalAsync的自定义用户服务中重定向到外部提供商（AAD）？

1. 从AuthenticateLocalAsync重定向到外部提供商 #

当然可以实现！AuthenticateLocalAsync作为本地凭证验证的入口，默认返回AuthenticateResult类型——而这个类型刚好提供了Redirect()方法，用来触发重定向到外部认证提供商的流程。

举个实际的代码例子，假设你已经配置好了AAD作为外部提供商，回调路径是/signin-aad：

public async Task<AuthenticateResult> AuthenticateLocalAsync(LocalAuthenticationContext context)
{
    // 先完成本地用户的凭证验证逻辑
    var localUser = await _userStore.ValidateUserCredentials(context.UserName, context.Password);
    if (localUser == null)
    {
        return AuthenticateResult.Failed("用户名或密码错误");
    }

    // 验证通过后，直接返回重定向结果到AAD的认证端点
    return AuthenticateResult.Redirect("/signin-aad");
}

这里的关键是用AuthenticateResult.Redirect()替代常规的Success()或Failed()，IdentityServer会自动处理后续的重定向跳转，引导用户到AAD的登录页面。

2. 能否重定向到依赖本地用户的外部提供商（AAD） #

完全可以，而且这是很多企业场景中常见的需求——先验证本地用户身份，再基于该用户的信息触发特定的外部认证流程（比如强制用户登录到关联的AAD租户，或者自动填充AAD用户名）。

实现的核心思路是：先验证本地用户，再将本地用户的上下文信息传递到外部认证流程中，具体步骤如下：

步骤1：验证本地用户并暂存上下文 #

在AuthenticateLocalAsync中，先完成本地用户的验证，然后将用户的关键信息（比如用户ID、关联的AAD UPN、租户ID）暂存到服务器端缓存（比如内存缓存、Redis），避免敏感信息直接暴露在URL中：

public async Task<AuthenticateResult> AuthenticateLocalAsync(LocalAuthenticationContext context)
{
    // 验证本地用户凭证
    var localUser = await _userStore.ValidateUserCredentials(context.UserName, context.Password);
    if (localUser == null)
    {
        return AuthenticateResult.Failed("本地身份验证失败");
    }

    // 生成唯一缓存键，暂存本地用户信息（设置5分钟过期，避免缓存堆积）
    var cacheKey = Guid.NewGuid().ToString();
    await _distributedCache.SetStringAsync(
        cacheKey, 
        JsonSerializer.Serialize(localUser),
        new DistributedCacheEntryOptions { AbsoluteExpirationRelativeToNow = TimeSpan.FromMinutes(5) }
    );

    // 构造AAD认证URL，携带缓存键和可选的login_hint参数（自动填充AAD用户名）
    var encodedUpn = Uri.EscapeDataString(localUser.AadUpn);
    var aadChallengeUrl = $"/signin-aad?cache_key={cacheKey}&login_hint={encodedUpn}";
    
    return AuthenticateResult.Redirect(aadChallengeUrl);
}

步骤2：在外部认证回调中关联本地用户 #

当用户完成AAD认证后，IdentityServer会触发外部登录的回调逻辑。此时你可以从请求中取出cache_key，从缓存中获取本地用户信息，然后将AAD的身份凭证与本地用户关联，生成最终的认证结果：

public async Task<IActionResult> ExternalLoginCallback(string returnUrl = null, string remoteError = null, string cache_key = null)
{
    // 从缓存中取出本地用户信息
    var localUserJson = await _distributedCache.GetStringAsync(cache_key);
    if (string.IsNullOrEmpty(localUserJson))
    {
        return RedirectToAction("Login", "Account");
    }
    var localUser = JsonSerializer.Deserialize<LocalUser>(localUserJson);

    // 获取AAD的外部认证结果
    var result = await HttpContext.AuthenticateAsync("AAD");
    if (!result.Succeeded)
    {
        return RedirectToAction("Login", "Account");
    }

    // 关联本地用户与AAD身份，生成最终的ClaimsIdentity
    var claims = new List<Claim>
    {
        new Claim(ClaimTypes.NameIdentifier, localUser.Id.ToString()),
        new Claim(ClaimTypes.Name, localUser.UserName),
        // 添加AAD返回的Claims
        result.Principal.Claims.Where(c => c.Type != ClaimTypes.NameIdentifier)
    };

    var identity = new ClaimsIdentity(claims, "local_aad");
    var principal = new ClaimsPrincipal(identity);

    // 完成认证，跳转到目标页面
    await HttpContext.SignInAsync(principal);
    return Redirect(returnUrl ?? "/");
}

注意事项 #

• 缓存键要足够随机（用Guid.NewGuid()就很合适），防止被恶意猜测；
• 缓存的过期时间不宜过长，避免无效数据堆积；
• 如果需要AAD强制特定用户登录，除了login_hint，还可以使用domain_hint参数指定租户，进一步缩小认证范围；
• 不要直接在URL中传递敏感信息（比如本地用户密码），所有敏感数据都要通过服务器端缓存传递。

内容的提问来源于stack exchange，提问作者Marek