如何利用ASP.NET Identity网站登录实现Xamarin Android应用登录？

先跟你说结论：完全可以用这个登录Action来实现Xamarin Android应用的登录，但得做几个适配调整——毕竟这个Action原本是给Web页面设计的，和移动端客户端的需求不太匹配。下面是具体的实现思路和要改的地方：

1. 处理[ValidateAntiForgeryToken]的问题 #

你的登录Action加了[ValidateAntiForgeryToken]特性，Web页面里Razor视图会自动生成对应的token字段，但Xamarin客户端没法直接拿到这个token。有两个可行的解决办法：

• 给移动端请求开例外：可以在Action里判断请求来源（比如通过请求头或User-Agent），如果是移动端请求就跳过AntiForgery验证；或者直接新建一个专门的移动端登录接口，去掉这个特性（注意配合其他安全措施，比如HTTPS）。
• 让客户端先获取Token：在ASP.NET Core里新增一个接口，用IAntiforgery服务生成并返回AntiForgery token，Xamarin先调用这个接口拿到token，再在登录请求的Header里带上RequestVerificationToken，这样就能通过验证。

2. 把Action改成API风格的响应 #

原Action返回的IActionResult（比如RedirectToAction、View）都是给Web页面做跳转或渲染用的，Xamarin需要的是JSON格式的响应，所以得修改返回逻辑：

• 登录成功时：不要返回RedirectToLocal，而是返回Json(new { Success = true, Message = "登录成功" })，如果需要用户信息也可以一起打包进去。
• 错误场景（账号未批准、锁定、密码错误等）：不要返回视图或跳转，而是返回带错误信息的JSON。比如账号未批准时返回Json(new { Success = false, Message = "账号未审核通过" })；密码错误时返回Json(new { Success = false, Errors = ModelState.Values.SelectMany(v => v.Errors.Select(e => e.ErrorMessage)) })。

3. Xamarin端的请求实现 #

在Xamarin Android里用HttpClient来完成登录请求，核心是维护好认证Cookie：

• 首先配置带Cookie容器的HttpClient：因为原系统用的是Cookie认证，所以需要让HttpClient自动保存登录后的Cookie，后续请求自动带上：

var cookieContainer = new CookieContainer();
var handler = new HttpClientHandler { UseCookies = true, CookieContainer = cookieContainer };
var httpClient = new HttpClient(handler);

• 构造登录请求的表单数据：原Action接收的是表单格式的参数，所以要把账号密码打包成FormUrlEncodedContent：

var loginParams = new Dictionary<string, string>
{
    { "Email", "your-user-email" },
    { "Password", "your-user-password" },
    { "RememberMe", "false" }
};
var content = new FormUrlEncodedContent(loginParams);

• 发送请求并处理响应：

var response = await httpClient.PostAsync("https://your-web-app-url/Account/Login", content);
var responseJson = await response.Content.ReadAsStringAsync();
// 定义一个LoginResult类来解析响应
var loginResult = JsonConvert.DeserializeObject<LoginResult>(responseJson);

if (loginResult.Success)
{
    // 登录成功，后续用这个httpClient调用库存接口即可，Cookie会自动带上
}
else
{
    // 给用户提示错误信息，比如用Toast
    Toast.MakeText(this, loginResult.Message ?? "登录失败", ToastLength.Long).Show();
}

（注：LoginResult类需要自己定义，包含Success、Message、Errors等字段）

4. 额外注意事项 #

• 跨域配置：如果Xamarin应用和Web API不在同一个域名下，必须在ASP.NET Core的Startup里配置CORS，允许移动端的请求来源：

services.AddCors(options =>
{
    options.AddPolicy("MobileAllowed",
        builder => builder.AllowAnyOrigin() // 也可以指定具体的移动端来源，更安全
                          .AllowAnyMethod()
                          .AllowAnyHeader());
});
// 然后在中间件里启用CORS（要放在UseRouting之后，UseAuthorization之前）
app.UseCors("MobileAllowed");

• 安全优化：一定要确保API使用HTTPS，避免明文传输密码；如果觉得Cookie认证在移动端不够灵活，也可以考虑在登录成功后生成JWT Token返回给Xamarin，后续请求用Bearer Token认证，这样就不用维护Cookie了。

内容的提问来源于stack exchange，提问作者WhatTheDeuce