验证用户的 Web Api OAuth 身份验证

Question

我有一个 MVC 5 + Web Api 2 + Angular 应用程序。我已经成功地使用 Identity 框架实现了 OAuth 身份验证。当我的用户提交登录表单时，我将使用正确的请求发布到 /Token 并且我正在取回不记名令牌，这一切都很好。

我的问题是我想在身份验证过程中插入一个步骤。目前，身份验证过程调用通过身份框架调用的令牌端点，然后调用我的数据类从数据库中检索用户，然后比较密码。如果全部签出，它会使用不记名令牌向客户端返回 200。

我想要插入一个执行额外检查的步骤，以查看用户是否有确认的电子邮件地址并且他们没有被禁用，如果其中任何一个检查失败，我想返回 400。

我反编译了 UserManager 类的代码，并且 IIdentityValidator 仅在创建或更新时执行。我考虑过覆盖 Find 方法，但这对我来说似乎不正确，因为此检查只应在​​登录期间进行。

Answer 1

Katana OAuth2 实施对资源所有者密码流施加的限制是为了遵循 OAuth2 的 RFC。如果您想就他们的帐户向用户提供反馈或做一些 UI 工作流，那么您应该考虑 OAuth2 隐式流程。