Identity Core中账户失效后如何自动登出用户？

这个问题其实挺常见的——毕竟Google OAuth的令牌和本地认证cookie不会因为你删除了后端用户就自动失效，咱们一步步来解决：

1. 实时检查用户存在性（最直接的方案） #

要实现每次请求都验证用户是否还存在于数据库，可以在请求管道中添加一个自定义中间件，在授权之前检查用户状态。如果用户已被删除，直接触发登出并跳转。

在Program.cs里添加这段代码（放在UseAuthentication()和UseAuthorization()之间）：

app.UseAuthentication();

// 新增的用户检查中间件
app.Use(async (context, next) =>
{
    if (context.User.Identity?.IsAuthenticated == true)
    {
        var userManager = context.RequestServices.GetRequiredService<UserManager<IdentityUser>>();
        var user = await userManager.GetUserAsync(context.User);
        
        // 如果用户不存在（已被删除），执行登出
        if (user == null)
        {
            // 同时清除Identity和Google的认证Cookie
            await context.SignOutAsync(IdentityConstants.ApplicationScheme);
            await context.SignOutAsync(GoogleDefaults.AuthenticationScheme);
            
            context.Response.Redirect("/Account/Login");
            return;
        }
    }
    
    await next();
});

app.UseAuthorization();

这个方案能做到实时生效，只要用户被删除，下一次请求就会被强制登出。

2. 利用Identity的SecurityStamp定期验证 #

ASP.NET Core Identity自带了SecurityStampValidator，它会定期检查用户的安全戳（SecurityStamp）是否变化，以此判断用户状态是否更新。如果用户被删除，检查时会发现用户不存在，自动触发登出。

你可以缩短默认的检查间隔（默认30分钟），让失效检测更及时：

builder.Services.Configure<SecurityStampValidatorOptions>(options =>
{
    // 改成5分钟检查一次，根据你的需求调整
    options.ValidationInterval = TimeSpan.FromMinutes(5);
});

这个方案不需要额外写中间件，但缺点是非实时，用户可能在删除后仍能访问几分钟，适合对实时性要求不高的场景。

3. 可选：验证Google令牌有效性（进阶） #

如果担心用户的Google令牌本身已失效（比如用户在Google端撤销了权限），可以在登录回调或定期请求中验证令牌有效性。不过这个会增加额外的API请求开销，一般不是必须的，除非你有特殊需求。

示例代码（登录回调中验证）：

var authResult = await HttpContext.AuthenticateAsync(GoogleDefaults.AuthenticationScheme);
var accessToken = authResult.Properties.GetTokenValue("access_token");

// 调用Google的tokeninfo端点验证令牌
using var client = new HttpClient();
var response = await client.GetAsync($"https://oauth2.googleapis.com/tokeninfo?access_token={accessToken}");
if (!response.IsSuccessStatusCode)
{
    // 令牌无效，直接登出
    await HttpContext.SignOutAsync();
    return RedirectToAction("Login", "Account");
}

额外注意事项 #

• 如果你的项目是软删除用户（比如用IsDeleted字段标记而不是直接删除），记得在中间件里加上对user.IsDeleted的判断，而不是只检查user == null。
• 登出时要确保同时清除所有相关的认证Cookie，避免用户残留登录状态。

内容的提问来源于stack exchange，提问作者mackhax0r