如何扩展IdentityServer4登录端点记录用户登录时间？

我明白你的痛点——想在用户登录时自动记录登录时间，但IdentityServer的内置登录流程没法直接修改，自己写的控制器又抓不到登录请求。其实IdentityServer4提供了几个扩展点，能让你在生成令牌的同时完成登录时间的更新，完全不需要依赖客户端二次调用，避免被绕过的风险。下面给你两种靠谱的实现方式：

方法一：针对密码登录模式的自定义验证器 #

如果你的前端用的是密码授权模式（Resource Owner Password Credentials），可以自定义IResourceOwnerPasswordValidator，在用户密码验证通过后直接更新登录时间：

1. 先确保你的ApplicationUser类已经添加了LoginTime属性：

public class ApplicationUser : IdentityUser
{
    public DateTime? LoginTime { get; set; }
}

（对应的AspNetUsers表也要有LoginTime列，建议用datetimeoffset或者datetime类型，存UTC时间）

2. 创建自定义的密码验证器：

public class CustomResourceOwnerPasswordValidator : IResourceOwnerPasswordValidator
{
    private readonly UserManager<ApplicationUser> _userManager;
    private readonly ILogger<CustomResourceOwnerPasswordValidator> _logger;

    public CustomResourceOwnerPasswordValidator(UserManager<ApplicationUser> userManager, ILogger<CustomResourceOwnerPasswordValidator> logger)
    {
        _userManager = userManager;
        _logger = logger;
    }

    public async Task ValidateAsync(ResourceOwnerPasswordValidationContext context)
    {
        // 根据用户名查找用户
        var user = await _userManager.FindByNameAsync(context.UserName);
        if (user == null)
        {
            context.Result = new GrantValidationResult(TokenRequestErrors.InvalidGrant, "Invalid username or password");
            return;
        }

        // 验证密码是否正确
        var isPasswordValid = await _userManager.CheckPasswordAsync(user, context.Password);
        if (!isPasswordValid)
        {
            context.Result = new GrantValidationResult(TokenRequestErrors.InvalidGrant, "Invalid username or password");
            return;
        }

        // 更新登录时间为当前UTC时间
        user.LoginTime = DateTime.UtcNow;
        var updateResult = await _userManager.UpdateAsync(user);
        
        // 处理更新失败的情况（比如并发冲突），记录日志即可，不用中断登录流程
        if (!updateResult.Succeeded)
        {
            _logger.LogWarning("Failed to update login time for user {UserId}: {Errors}", 
                user.Id, 
                string.Join(", ", updateResult.Errors.Select(e => e.Description)));
        }

        // 返回验证成功的结果，继续生成令牌
        context.Result = new GrantValidationResult(
            subject: user.Id,
            authenticationMethod: "password",
            claims: await _userManager.GetClaimsAsync(user));
    }
}

3. 在Startup.cs中注册这个自定义验证器：

services.AddScoped<IResourceOwnerPasswordValidator, CustomResourceOwnerPasswordValidator>();

方法二：通用方案——利用IdentityServer的TokenIssued事件 #

如果你的系统支持多种登录方式（比如授权码模式、密码模式），用事件监听的方式更通用，不管哪种登录流程，只要生成用户令牌就会触发TokenIssued事件：

在Startup.cs配置IdentityServer的时候，添加事件处理逻辑：

services.AddIdentityServer(options =>
{
    // 这里可以保留你的其他IdentityServer配置
})
.AddAspNetIdentity<ApplicationUser>()
// 其他必要的配置项（比如添加客户端、API资源、签名凭证等）
.AddEvents(options =>
{
    // 确保开启事件触发
    options.RaiseSuccessEvents = true;

    // 注册TokenIssued事件的处理逻辑
    options.AddTokenIssuedAsync(async context =>
    {
        // 从令牌上下文获取当前用户的ID
        var userId = context.Subject.FindFirst(JwtClaimTypes.Subject)?.Value;
        if (string.IsNullOrEmpty(userId)) return;

        // 从DI容器获取UserManager
        var userManager = context.HttpContext.RequestServices.GetRequiredService<UserManager<ApplicationUser>>();
        var user = await userManager.FindByIdAsync(userId);
        
        if (user != null)
        {
            user.LoginTime = DateTime.UtcNow;
            var updateResult = await userManager.UpdateAsync(user);
            
            if (!updateResult.Succeeded)
            {
                var logger = context.HttpContext.RequestServices.GetRequiredService<ILogger<IdentityServerOptions>>();
                logger.LogError("Failed to update login time for user {UserId}: {Errors}",
                    userId,
                    string.Join(", ", updateResult.Errors.Select(e => e.Description)));
            }
        }
    });
});

关键注意事项 #

• 用UTC时间：避免不同时区导致的时间显示问题，前端展示时再转换为用户本地时间。
• 不要中断登录流程：即使更新登录时间失败，也不要拒绝用户登录，只需要记录日志即可，优先保证登录功能可用。
• 性能考虑：更新用户登录时间是轻量级操作，不会对登录性能造成明显影响，但如果有额外的复杂逻辑，建议异步处理或者放在后台任务中。

之前你找不到登录端点的原因是：IdentityServer的/connect/token等端点是由框架内部处理的，不是我们自定义的控制器，所以必须用框架提供的扩展点或事件系统来拦截处理，而不是自己写控制器去捕获请求。

内容的提问来源于stack exchange，提问作者CompanyDroneFromSector7G