ASP NET Identity - 有条件地检查 RequireConfirmedPhoneNumber

Question

我的中间件方法目前有一个“IdentityOptions.SignIn.RequireConfirmedPhoneNumber”的可配置选项，这会导致CheckPasswordSignInAsync 方法在未确认电话号码时返回IsNotAllowed = true。这是意料之中的。

我希望将此检查 (RequireConfirmedPhoneNumber) 设置为有条件的，因此只有在提供电话号码时才会启动。

为此，我重写了CheckPasswordSignInAsync 方法：

public override async Task<SignInResult> CheckPasswordSignInAsync(ApplicationUser user, string password, bool lockoutOnFailure)
{
      bool confirmedNumberRequiredAlways = true; // comes from config
      bool confirmedNumberRequiredIfProvided = true; // comes from config

      base.Options.SignIn.RequireConfirmedPhoneNumber = confirmedNumberRequiredAlways
                                                                || confirmedNumberRequiredIfProvided && !string.IsNullOrWhiteSpace(user.PhoneNumber);

      return await base.CheckPasswordSignInAsync(user, password, lockoutOnFailure);
}

到目前为止，这已按预期工作，但我的问题是

1. 是否有任何替代/更好的方法来处理这种情况？，
2. 我的实现方式是否存在任何安全问题？

Answer 1

我的实现方式是否存在任何安全问题？

当前的方法将不断更改仅应在启动时设置的全局应用程序选项。

是否有任何替代/更好的方法来处理这种情况？，

覆盖应该只检查所需的条件。在这种情况下是

只有在提供电话号码时才会启动。

例如

public override async Task<SignInResult> CheckPasswordSignInAsync(ApplicationUser user, string password, bool lockoutOnFailure) {
    bool confirmedNumberRequiredIfProvided = ... //from config;
    
    //pre sign in checking condition here
    if(!base.Options.SignIn.RequireConfirmedPhoneNumber
        && confirmedNumberRequiredIfProvided 
        && !string.IsNullOrWhiteSpace(user.PhoneNumber) 
        && !(await UserManager.IsPhoneNumberConfirmedAsync(user))) {
        //consider logging
        return SignInResult.NotAllowed;
    }
    
    return await base.CheckPasswordSignInAsync(user, password, lockoutOnFailure);
}

假设 base.Options.SignIn.RequireConfirmedPhoneNumber 在启动时根据从配置中检索到的 confirmedNumberRequiredAlways 进行配置