ASP.NET Web API中Authentication.GetExternalLoginInfoAsync始终返回null

我之前也踩过这个坑，Web API里用Owin做第三方登录时，明明用户已经认证，但GetExternalLoginInfoAsync就是返回null——核心原因是Web API的上下文逻辑和MVC不同，再加上Owin配置的细节没处理到位。给你几个关键的解决方向：

1. 自定义适配Web API的ChallengeResult #

MVC默认的ChallengeResult是为页面跳转设计的，Web API需要针对性调整，尤其是要在AuthenticationProperties里添加XsrfId——这是GetExternalLoginInfoAsync识别第三方登录信息的必要参数。

替换你的ChallengeResult实现：

public class ChallengeResult : IHttpActionResult
{
    public string LoginProvider { get; set; }
    public string RedirectUri { get; set; }
    public HttpRequestMessage Request { get; set; }

    public ChallengeResult(string loginProvider, string redirectUri, HttpRequestMessage request)
    {
        LoginProvider = loginProvider;
        RedirectUri = redirectUri;
        Request = request;
    }

    public Task<HttpResponseMessage> ExecuteAsync(CancellationToken cancellationToken)
    {
        var properties = new AuthenticationProperties { RedirectUri = RedirectUri };
        // 必须添加XsrfId，否则GetExternalLoginInfoAsync无法识别第三方登录会话
        properties.Dictionary["XsrfId"] = Guid.NewGuid().ToString("N");
        Request.GetOwinContext().Authentication.Challenge(properties, LoginProvider);

        var response = new HttpResponseMessage(HttpStatusCode.Unauthorized);
        response.RequestMessage = Request;
        return Task.FromResult(response);
    }
}

调用时要传递移动端可处理的回调地址：

return new ChallengeResult(provider, "你的移动端回调地址", this.Request);

2. 检查Owin Startup的认证配置 #

确保ExternalCookie和第三方登录（Facebook/Google）的配置正确关联，尤其是SignInAsAuthenticationType必须指向ExternalCookie：

// 在Startup.Auth.cs中配置
app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    AuthenticationType = DefaultAuthenticationTypes.ExternalCookie,
    AuthenticationMode = AuthenticationMode.Passive,
    CookieName = ".AspNet.ExternalCookie",
    ExpireTimeSpan = TimeSpan.FromMinutes(5),
});

// Facebook认证配置
app.UseFacebookAuthentication(new FacebookAuthenticationOptions
{
    AppId = "你的Facebook AppId",
    AppSecret = "你的Facebook AppSecret",
    SignInAsAuthenticationType = DefaultAuthenticationTypes.ExternalCookie,
    // 回调路径指向API的登录回调方法
    CallbackPath = new PathString("/api/Account/ExternalLoginCallback")
});

// Google认证同理
app.UseGoogleAuthentication(new GoogleOAuth2AuthenticationOptions
{
    ClientId = "你的Google ClientId",
    ClientSecret = "你的Google ClientSecret",
    SignInAsAuthenticationType = DefaultAuthenticationTypes.ExternalCookie,
    CallbackPath = new PathString("/api/Account/ExternalLoginCallback")
});

3. 在正确的时机调用GetExternalLoginInfoAsync #

你大概率在错误的方法里调用了这个方法！正确的流程应该是：

1. 移动端调用GetExternalLogin发起第三方登录挑战（此时用户未认证，返回401）
2. 用户完成第三方登录后，回调到API的ExternalLoginCallback方法
3. 在ExternalLoginCallback方法中调用GetExternalLoginInfoAsync，并且明确指定ExternalCookie认证类型：

[AllowAnonymous]
[Route("ExternalLoginCallback")]
public async Task<IHttpActionResult> ExternalLoginCallback()
{
    // 明确指定ExternalCookie认证类型，避免上下文混淆
    var exLog = await Authentication.GetExternalLoginInfoAsync(DefaultAuthenticationTypes.ExternalCookie);
    if (exLog == null)
    {
        return BadRequest("无法获取第三方登录信息");
    }

    // 这里处理登录逻辑，比如生成JWT返回给移动端
    // ...
}

如果在最初的GetExternalLogin方法中调用，此时User.Identity.IsAuthenticated可能是移动端的其他认证（比如之前的Bearer token），并不是第三方登录的ExternalCookie认证，所以拿不到数据。

4. 确保AuthenticationManager的上下文正确 #

验证你的Authentication属性是从当前请求的Owin上下文获取的，不要用静态实例：

private IAuthenticationManager Authentication => Request.GetOwinContext().Authentication;

这样能保证每次请求都获取到正确的上下文。

按照这些步骤调整后，应该就能正常获取到ExternalLoginInfo了。

内容的提问来源于stack exchange，提问作者Hakan Fıstık