ASP.NET Core自定义AuthenticationHandler与Cookie认证整合优化咨询

1. 如何将认证逻辑迁移至HandleAuthenticateAsync并让其被调用？ #

你的HandleAuthenticateAsync从未被触发的核心原因是：你把DefaultAuthenticateScheme设为了Cookie认证，ASP.NET Core默认只会用Cookie认证Handler执行认证流程，根本不会调用自定义Handler的认证方法。要实现「优先用Cookie，无Cookie时触发自定义认证」的需求，我们需要调整认证配置，让自定义Handler加入认证链，同时把实际认证逻辑移到HandleAuthenticateAsync中。

步骤1：调整认证配置，用PolicyScheme串联两个认证Scheme #

我们可以用AddPolicyScheme作为默认认证入口，让它先尝试Cookie认证，失败后再触发自定义认证。修改你的配置代码：

services.AddAuthentication(options =>
{
    // 用PolicyScheme作为默认认证的统一入口
    options.DefaultAuthenticateScheme = "CookieOrMyAuth";
    options.DefaultSignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = "CookieOrMyAuth";
})
.AddCookie()
.AddScheme<MyAuthenticationOptions, MyAuthenticationHandler>(MyAuth.Scheme, "My auth scheme", options => { })
.AddPolicyScheme("CookieOrMyAuth", "Cookie or Custom Auth", options =>
{
    options.ForwardDefaultSelector = context =>
    {
        // 先检查请求是否有有效Cookie认证
        var cookieAuthResult = context.Request.HttpContext.AuthenticateAsync(CookieAuthenticationDefaults.AuthenticationScheme).Result;
        if (cookieAuthResult.Succeeded)
        {
            // Cookie有效，使用Cookie认证Scheme
            return CookieAuthenticationDefaults.AuthenticationScheme;
        }
        // Cookie无效或不存在，使用自定义认证Scheme
        return MyAuth.Scheme;
    };
});

步骤2：重构自定义Handler，将认证逻辑移至HandleAuthenticateAsync #

现在HandleAuthenticateAsync会被正常调用了，把原来在HandleChallengeAsync里的认证逻辑迁移过来：

public class MyAuthenticationHandler : AuthenticationHandler<MyAuthenticationOptions>
{
    public MyAuthenticationHandler(IOptionsMonitor<MyAuthenticationOptions> options, ILoggerFactory logger, UrlEncoder encoder, ISystemClock clock) 
        : base(options, logger, encoder, clock)
    {
    }

    protected override async Task<AuthenticateResult> HandleAuthenticateAsync()
    {
        // 这里实现你的实际认证逻辑：比如检查SSO返回的凭证、请求参数等
        var myUser = await DoAuth();
        
        if (!myUser.IsAuthenticated)
        {
            // 认证失败，返回Fail，系统会自动触发Challenge流程
            return AuthenticateResult.Fail("SSO authentication failed");
        }

        // 认证成功，生成ClaimsPrincipal
        var claims = new List<Claim>
        {
            new Claim(ClaimTypes.NameIdentifier, myUser.Username),
            // 可添加其他业务需要的Claim
        };
        var identity = new ClaimsIdentity(claims, MyAuth.Scheme);
        var claimsPrincipal = new ClaimsPrincipal(identity);
        
        // 返回认证成功结果
        return AuthenticateResult.Success(new AuthenticationTicket(claimsPrincipal, MyAuth.Scheme));
    }

    protected override async Task HandleChallengeAsync(AuthenticationProperties properties)
    {
        // 这里只负责处理认证失败后的跳转逻辑
        if (Context.Request.Query.ContainsKey("isRedirectedFromSSO"))
        {
            Context.Response.Redirect("/unauthorized");
            return;
        }
        else
        {
            // 跳转到SSO页面时带上回调地址，方便认证成功后返回原页面
            var redirectUrl = Context.Request.GetEncodedUrl();
            var ssoUrl = $"url to sso?redirect={Uri.EscapeDataString(redirectUrl)}";
            Context.Response.Redirect(ssoUrl);
            return;
        }
    }
}

步骤3：处理SSO回调后的Cookie生成 #

当用户从SSO认证成功返回时，自定义Handler的HandleAuthenticateAsync会返回成功，此时可以让系统自动生成Cookie。最优雅的方式是借助DefaultSignInScheme的配置，当自定义认证成功后，系统会自动调用Cookie的SignIn逻辑生成认证Cookie。

2. 在一个认证Handler中调用另一个是否可行？ #

不建议直接实例化或调用另一个Handler的内部方法，因为每个Handler都有独立的依赖和上下文，直接调用容易引发上下文混乱、资源泄漏等问题。

ASP.NET Core认证系统提供了更规范的多Scheme组合方式：

• 用PolicyScheme串联多个Scheme（如步骤1的例子），让系统自动处理Scheme之间的切换逻辑。
• 如果确实需要在Handler中触发其他Scheme的认证，可以注入IAuthenticationService来调用AuthenticateAsync方法，示例如下：

  private readonly IAuthenticationService _authService;
  
  public MyAuthenticationHandler(IOptionsMonitor<MyAuthenticationOptions> options, ILoggerFactory logger, UrlEncoder encoder, ISystemClock clock, IAuthenticationService authService) 
      : base(options, logger, encoder, clock)
  {
      _authService = authService;
  }
  
  protected override async Task<AuthenticateResult> HandleAuthenticateAsync()
  {
      // 先尝试Cookie认证
      var cookieResult = await _authService.AuthenticateAsync(Context, CookieAuthenticationDefaults.AuthenticationScheme);
      if (cookieResult.Succeeded)
      {
          return cookieResult;
      }
  
      // 再执行自定义认证逻辑
      var myUser = await DoAuth();
      // ... 后续认证成功/失败逻辑
  }
  

这种方式符合框架设计规范，IAuthenticationService会正确管理各个Handler的生命周期和上下文。

总结来说，通过PolicyScheme组合两个Scheme，将认证逻辑移至HandleAuthenticateAsync，既能满足你的业务需求，又能保证代码结构符合ASP.NET Core认证体系的设计规范。

内容的提问来源于stack exchange，提问作者severin