如何在AspNetCore的OpenIdConnect登录流程中终止锁定用户的登录？

完全可以在OnTokenValidated事件里终止锁定用户的登录流程，这其实是处理这类业务规则的合适时机之一——因为这个事件触发时，令牌已经验证通过，你可以安全地获取用户的标识信息（比如从声明里拿用户ID），然后去数据库校验锁定状态，一旦确认用户被锁定，直接终止登录流程即可。

下面是修改后的完整代码示例：

services.AddOpenIdConnect("Auth0", options => 
{
    // 其他配置项...

    options.Events = new OpenIdConnectEvents 
    {
        OnTokenValidated = async context => 
        {
            // 从DI获取你的仓储实例
            var usersRepository = context.HttpContext.RequestServices.GetRequiredService<IUsersRepository>();
            
            // 从声明中提取用户唯一标识（根据你的OIDC提供商调整，比如sub声明）
            var userId = context.Principal.FindFirstValue(ClaimTypes.NameIdentifier) 
                         ?? context.Principal.FindFirstValue("sub");

            if (userId == null)
            {
                // 如果无法获取用户ID，直接终止流程
                context.Fail("无法识别用户标识");
                return;
            }

            // 从数据库查询用户锁定状态
            var userIsLocked = await usersRepository.IsUserLockedAsync(userId);

            if (userIsLocked)
            {
                // 终止登录流程，返回自定义错误信息
                context.Fail("当前用户已被锁定，无法登录");
                return;
            }

            // 如果用户正常，继续后续流程（比如添加自定义声明等）
        }
    };
});

关键说明： #

• 使用context.Fail(string errorMessage)方法可以直接终止OpenIdConnect的登录流程，框架会自动处理错误响应，比如跳转到登录失败页面或者返回错误信息（具体行为取决于你的配置）。
• OnTokenValidated事件的执行时机是令牌验证成功后，ClaimsPrincipal被正式创建并附加到HttpContext之前，所以在这里拦截是非常合适的，不会让锁定用户进入系统。
• 注意要从context.HttpContext.RequestServices获取仓储实例，而不是通过构造函数注入——因为OpenIdConnectEvents是在服务配置阶段创建的，此时DI容器还没完全初始化完成。

另外，如果你想自定义错误的展示方式，还可以结合OnRemoteFailure事件来处理context.Fail抛出的错误，比如跳转到你自己的锁定提示页面：

options.Events.OnRemoteFailure = context =>
{
    if (context.Failure.Message.Contains("当前用户已被锁定"))
    {
        context.Response.Redirect("/Account/LockedOut");
        context.HandleResponse();
    }
    return Task.CompletedTask;
};

这样就能完整实现“验证令牌后检查用户锁定状态，锁定则终止登录并跳转到提示页”的需求了。

内容的提问来源于stack exchange，提问作者Catalin