ASP.NET Identity 2.2.1 - 发送带有代码的确认电子邮件，而不是带有链接

Question

我已经使用 ASP.NET Identity 2.2.1 成功构建了简单的注册系统。
我只需要 API，所以我构建了简单的控制器，允许使用路由 account/create 创建帐户，当创建帐户时，用户会收到带有确认其手机所需令牌的 SMS 消息，同时我正在生成所需的链接验证电子邮件地址，我将其发送到用户电子邮件地址。 然后用户需要从 SMS 中输入令牌（向account/confirm_phone 请求）并单击他收到的电子邮件中的链接。
这两个操作是激活帐户所需要的，这部分工作正常。

我需要将电子邮件链接更改为电子邮件令牌，类似于用于确认电话号码的电子邮件，因此用户必须输入该令牌而不是单击链接（请求account/confirm_email）

方法 GenerateEmailConfirmationTokenAsync 返回非常长的代码，该代码将成为电子邮件中链接的一部分，我希望它返回 6 位令牌。

我不能重复使用GeneratePhoneConfirmationTokenAsync，因为这将生成与通过 SMS 发送相同的令牌。

我在互联网上进行了搜索，但找不到任何有关如何自定义 GenerateEmailConfirmationTokenAsync 方法生成的令牌的信息。

是否可以配置该令牌生成器，使其返回 6 个（或任何可配置长度）数字代码，我可以使用它来确认用户电子邮件地址。

我知道将链接发送给用户是更好的选择，但正如我写的那样，这是我得到的要求，我无法更改。

Answer 1

这可能不是那么容易，但方法是编写自己的 IUserTokenProvider 实现。

public class CustomTokenProvider : IUserTokenProvider<ApplicationUser, string>
{
    public Task<string> GenerateAsync(string purpose, UserManager<ApplicationUser, string> manager, ApplicationUser user)
    {
        ???
    }

    public Task<bool> IsValidProviderForUserAsync(UserManager<ApplicationUser, string> manager, ApplicationUser user)
    {
        ???
    }

    public Task NotifyAsync(string token, UserManager<ApplicationUser, string> manager, ApplicationUser user)
    {
        ???
    }

    public Task<bool> ValidateAsync(string purpose, string token, UserManager<ApplicationUser, string> manager, ApplicationUser user)
    {
        ???
    }
}

然后在 ApplicationUserManager 的 Create 方法中：

manager.UserTokenProvider = new CustomTokenProvider<ApplicationUser, string>();

Answer 2

我对此进行了仔细查看，恐怕您不走运。

ASP.Net 身份框架 (v2.2.x) 有 2 个令牌提供者：DataProtectorTokenProvider 和 EmailTokenProvider。

DataProtectorTokenProvider 为您提供了一个非常长的令牌，不适合手动复制粘贴。但它允许设置时间跨度：DataProtectorTokenProvider.TokenLifespan。默认情况下，它设置为 1 天 - 请参阅该类的构造函数。此提供程序生成的令牌包含当前 UTC 时间、用户 ID、安全标记和附加字符串 purpose，可以是任何内容，但在验证时必须与生成时相同。这通常是“电子邮件”或“电话”。然后所有这些数据都由IDataProtector 加密。因此，您会得到非常长且看起来很讨厌的字符串。

您可以为不同的令牌设置可变的生命周期，但在验证每个特定令牌之前，您必须在 DataProtectorTokenProvider.TokenLifespan 中设置正确的值。

另一个选项EmailTokenProvider - 这个类继承自TotpSecurityStampBasedTokenProvider。此令牌提供程序基于 Rfc6238 生成一次性密码 (OTP)。这个令牌是时间敏感的，一旦超过时间窗口就会失效。有关详细信息，请参阅section 5.2。身份的默认时间窗口设置为 3 分钟。见行：

private static readonly TimeSpan _timestep = TimeSpan.FromMinutes(3);

在Rfc6238AuthenticationService。但是 Rfc6238 说实现必须允许超过 1 个时间窗口。给定的实现允许总共 6 分钟的令牌寿命。如果不实现自己的 Rfc6238，就无法改变这一点。

因此，Identity 不会为您提供实现您的要求的方法 - 您必须自己生成令牌并将它们与时间戳一起存储。也许只有其中之一 - 寿命更长的短令牌。默认的 SMS 实现已经是短暂的，不适合手动输入。