OAuth 与 OWIN 如何在 MVC5 中工作？

Question

我试图了解 OAuth 的工作原理，但感觉就像一场大型魔术表演，我不喜欢那样。

我创建了一个新的 MVC5 项目并启用了 facebook 身份验证。这一切都很好，但是，我正在尝试了解它是如何工作的。

这是我迷路的部分。想象一下，用户第一次想要登录。这个方法被执行了：

    public async Task<ActionResult> ExternalLoginCallback(string returnUrl)
    {
        var loginInfo = await AuthenticationManager.GetExternalLoginInfoAsync();
        if (loginInfo == null)
        {
            return RedirectToAction("Login");
        }

        // Sign in the user with this external login provider if the user already has a login
        var result = await SignInManager.ExternalSignInAsync(loginInfo, isPersistent: false);
        switch (result)
        {
            case SignInStatus.Success:
                return RedirectToLocal(returnUrl);
            case SignInStatus.LockedOut:
                return View("Lockout");
            case SignInStatus.RequiresVerification:
                return RedirectToAction("SendCode", new { ReturnUrl = returnUrl, RememberMe = false });
            case SignInStatus.Failure:
            default:
                // If the user does not have an account, then prompt the user to create an account
                ViewBag.ReturnUrl = returnUrl;
                ViewBag.LoginProvider = loginInfo.Login.LoginProvider;
                return View("ExternalLoginConfirmation", new ExternalLoginConfirmationViewModel { Email = loginInfo.Email });
        }
    }

此代码显示 FB 登录页面，FB 将处理凭据。这一切都很好。但随后，这一行被执行：var result = await SignInManager.ExternalSignInAsync(loginInfo, isPersistent: false);。我可以在loginInfo 中看到设置了一个名称，但result 变量设置为Failure。这是为什么？用户刚刚被FB认证，为什么是false？

但是，就我的感觉而言，它变得更奇怪了。当我继续运行示例应用程序时，它要求我输入电子邮件地址。我输入了一个电子邮件地址，瞧，我登录了。由于我正在探索整个登录过程，所以我注销并想再次登录。所以，我注销并立即使用 FB 再次登录。这是我用头撞墙的地方。当代码再次点击这一行时：var result = await SignInManager.ExternalSignInAsync(loginInfo, isPersistent: false); 结果设置为true!!

有人可以向我解释一下这里发生了什么吗？

Answer 1

当您使用外部登录时，SignInManager 会通过外部方（在本例中为 Facebook）验证用户凭据。如果外部方已成功验证凭据，则 SignInManager 会检查是否存在用户记录。由于这是您第一次登录，因此没有任何可用的用户记录。这部分负责：

case SignInStatus.Failure:
        default:
            // If the user does not have an account, then prompt the user to create an account
            ViewBag.ReturnUrl = returnUrl;
            ViewBag.LoginProvider = loginInfo.Login.LoginProvider;
            return View("ExternalLoginConfirmation", new ExternalLoginConfirmationViewModel { Email = loginInfo.Email });

这允许您使用另一个电子邮件地址。最常见的是使用相同的电子邮件地址！

部分示例：http://www.asp.net/mvc/overview/security/create-an-aspnet-mvc-5-app-with-facebook-and-google-oauth2-and-openid-sign-on。