web-dev-qa-db-fra.com

Empêcher la connexion lorsque EmailConfirmed est faux

Les bits d'identité ASP.NET les plus récents (version 2.0 bêta) constituent la base de la confirmation des adresses e-mail des utilisateurs. Le package NuGet "Microsoft Asp.Net Identity Samples" contient un exemple montrant ce flux. Mais dans cet exemple, même lorsque EmailConfirmed = false, il n'y a pas de comportement différent dans l'expérience utilisateur.

Comment puis-je empêcher les utilisateurs de se connecter lorsque leur adresse e-mail n'est pas encore confirmée? Je comprends que je peux demander aux utilisateurs de se connecter malgré tout, puis d'effectuer la vérification sur le EmailConfirmed , mais il semble que ce serait beaucoup plus efficace si je pouvais empêcher l'utilisateur de se connecter avec succès lorsque EmailConfirmed == false

c#asp.net-mvcasp.net-identity
34
BenjiFB

Vous devez ajouter quelques lignes à l'action de connexion (méthode POST) pour vérifier que l'utilisateur a confirmé son e-mail. La méthode que vous souhaitez vérifier est serManager.IsEmailConfirmed. Voici à quoi ressemblera votre action de connexion.

    public async Task<ActionResult> Login(LoginViewModel model, string returnUrl)
    {
        if (ModelState.IsValid)
        {
            var user = await UserManager.FindByNameAsync(model.Email);
            if (user == null)
            {
                ModelState.AddModelError("", "Invalid login attempt.");
                return View(model);
            }
            //Add this to check if the email was confirmed.
            if (!await UserManager.IsEmailConfirmedAsync(user.Id))
            {
                ModelState.AddModelError("", "You need to confirm your email.");
                return View(model);
            }
            if (await UserManager.IsLockedOutAsync(user.Id))
            {
                return View("Lockout");
            }
            if (await UserManager.CheckPasswordAsync(user, model.Password))
            {
                // Uncomment to enable lockout when password login fails
                //await UserManager.ResetAccessFailedCountAsync(user.Id);
                return await LoginCommon(user, model.RememberMe, returnUrl);
            }
            else
            {
                // Uncomment to enable lockout when password login fails
                //await UserManager.AccessFailedAsync(user.Id);
                ModelState.AddModelError("", "Invalid login attempt.");
                return View(model);
            }
        }

        // If we got this far, something failed, redisplay form
        return View(model);
    }

Dans cet exemple, je renvoie simplement l'utilisateur à la vue de connexion et affiche un message d'erreur. Vous pouvez les renvoyer à une autre vue qui fournit plus de détails sur les prochaines étapes pour confirmer leur e-mail, ou même leur donner la possibilité de renvoyer l'e-mail de confirmation.

44
Kevin Junghans

dans ApplicationOAuthProvider.cs

        public override async Task GrantResourceOwnerCredentials(OAuthGrantResourceOwnerCredentialsContext context)
        {
            var userManager = context.OwinContext.GetUserManager<ApplicationUserManager>();

            ApplicationUser user = await userManager.FindAsync(context.UserName, context.Password);

            if (user == null)
            {
                context.SetError("invalid_grant", "The user name or password is incorrect.");
                return;
            }

            if (!user.EmailConfirmed)
            {
                context.SetError("invalid_grant", "Account pending approval.");
                return;
            }
        }
11
ileff

Je viens de modifier le cas où la connexion pouvait réussir:

case SignInStatus.Success:
    if (!await UserManager.IsEmailConfirmedAsync((await UserManager.FindByNameAsync(model.Email)).Id))
    {
        Session.Abandon();
        AuthenticationManager.SignOut();
        ModelState.AddModelError("", "You need to confirm your email address");
        return View(model);
    }
    return RedirectToLocal(returnUrl);
10
e4rthdog

Utilisation des exemples ASP.NET Identity 2.0.

1. Mettez à jour l'action de connexion POST dans le contrôleur de compte.

    //
    // POST: /Account/Login
    [HttpPost]
    [AllowAnonymous]
    [ValidateAntiForgeryToken]
    public async Task<ActionResult> Login(LoginViewModel model, string returnUrl)
    {
        if (!ModelState.IsValid)
        {
            return View(model);
        }

        // This doen't count login failures towards lockout only two factor authentication
        // To enable password failures to trigger lockout, change to shouldLockout: true
        var result = await SignInHelper.PasswordSignIn(model.Email, model.Password, model.RememberMe, shouldLockout: false);
        switch (result)
        {
            case SignInStatus.Success:
                return RedirectToLocal(returnUrl);
            case SignInStatus.EmailNotConfirmed:
                return View("EmailNotConfirmed");
            case SignInStatus.LockedOut:
                return View("Lockout");
            case SignInStatus.RequiresTwoFactorAuthentication:
                return RedirectToAction("SendCode", new { ReturnUrl = returnUrl });
            case SignInStatus.Failure:
            default:
                ModelState.AddModelError("", "Invalid login attempt.");
                return View(model);
        }
    }

2. Mettez à jour l'énumération SignInStatus dans IdentityConfig.cs.

public enum SignInStatus
{
    Success,
    EmailNotConfirmed,
    LockedOut,
    RequiresTwoFactorAuthentication,
    Failure
}

3. Mettez à jour la méthode PasswordSignIn dans IdentityConfig.cs.

    public async Task<SignInStatus> PasswordSignIn(string userName, string password, bool isPersistent, bool shouldLockout)
    {
        var user = await UserManager.FindByNameAsync(userName);
        if (user == null)
        {
            return SignInStatus.Failure;
        }
        if (!(await UserManager.IsEmailConfirmedAsync(user.Id)))
        {
            return SignInStatus.EmailNotConfirmed;
        }
        if (await UserManager.IsLockedOutAsync(user.Id))
        {
            return SignInStatus.LockedOut;
        }
        if (await UserManager.CheckPasswordAsync(user, password))
        {
            return await SignInOrTwoFactor(user, isPersistent);
        }
        if (shouldLockout)
        {
            // If lockout is requested, increment access failed count which might lock out the user
            await UserManager.AccessFailedAsync(user.Id);
            if (await UserManager.IsLockedOutAsync(user.Id))
            {
                return SignInStatus.LockedOut;
            }
        }
        return SignInStatus.Failure;
    }

4. Ajoutez une nouvelle vue "EmailNotConfirmed.cshtml".

@{
    ViewBag.Title = "Email not confirmed";
}

<h2>You have not confirmed your email.</h2>

<p>Please click the link in the email we sent you to confirm your email.</p>

<p>todo: Add a "resend confirmation email" button here.</p>
3
PussInBoots