OAuth с пользовательской проверкой подлинности JWT

Я изо всех сил пытаюсь реализовать собственный поток аутентификации с помощью OAuth и JWT. В основном это должно происходить следующим образом:

• Пользователь нажимает при входе
• Пользователь перенаправляется на стороннюю страницу входа OAuth
• Вход пользователя на страницу
• Я получаю access_token и запрашиваю информацию о пользователе
• Я получаю информацию о пользователе и создаю свой собственный токен JWT для отправки туда и обратно

Я следил за этот отличный учебник о том, как создать аутентификацию OAuth, единственная часть, которая отличается, это то, что Джерри использует Cookies.

Что я сделал до сих пор:

Настроил службу аутентификации.

services.AddAuthentication(options => 
{
    options.DefaultChallengeScheme = "3rdPartyOAuth";
    options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
    options.DefaultSignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
})
.AddCookie() // Added only because of the DefaultSignInScheme
.AddJwtBearer(options =>
{
    options.TokenValidationParameters = // Ommited for brevity
})
.AddOAuth("3rdPartyOAuth", options =>
{
    options.ClientId = securityConfig.ClientId;
    options.ClientSecret = securityConfig.ClientSecret;
    options.CallbackPath = new PathString("/auth/oauthCallback");

    options.AuthorizationEndpoint = securityConfig.AuthorizationEndpoint;
    options.TokenEndpoint = securityConfig.TokenEndpoint;
    options.UserInformationEndpoint = securityConfig.UserInfoEndpoint;

    // Only this for testing for now
    options.ClaimActions.MapJsonKey("sub", "sub");

    options.Events = new OAuthEvents
    {
        OnCreatingTicket = async context =>
        {
            // Request for user information
            var request = new HttpRequestMessage(HttpMethod.Get, context.Options.UserInformationEndpoint);
            request.Headers.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json"));
            request.Headers.Authorization = new AuthenticationHeaderValue("Bearer", context.AccessToken);

            var response = await context.Backchannel.SendAsync(request, HttpCompletionOption.ResponseHeadersRead, context.HttpContext.RequestAborted);
            response.EnsureSuccessStatusCode();

            var user = JObject.Parse(await response.Content.ReadAsStringAsync());

            context.RunClaimActions(user);
        }
    };
});

Контроллер авторизации

    [AllowAnonymous]
    [HttpGet("login")]
    public IActionResult LoginIam(string returnUrl = "/auth/loginCallback")
    {
        return Challenge(new AuthenticationProperties() {RedirectUri = returnUrl});
    }

    [AllowAnonymous]
    [DisableRequestSizeLimit]
    [HttpGet("loginCallback")]
    public IActionResult IamCallback()
    {
        // Here is where I expect to get the user info, create my JWT and send it back to the client
        return Ok();
    }

Отказ от ответственности: этот поток OAuth сейчас внедряется. У меня есть поток для создания и использования моей собственной работы JWT и всего остального. Я не буду писать здесь, потому что моя проблема до этого.

Что я хочу

В посте Джерри видно, что он ставит DefaultAuthenticateScheme = CookieAuthenticationDefaults.AuthenticationScheme;. При этом, когда достигается /auth/loginCallback, у меня есть претензии пользователя в HttpContext. Проблема в том, что мой DefaultAuthenticateScheme установлен на JwtBearersDefault, и когда вызывается loginCallback, я не вижу утверждений пользователя нигде в Request. Как я могу получить доступ к информации, полученной на OnCreatingTicketEvent в моем обратном вызове в этом сценарии?

Бонусный вопрос: Я мало что знаю об OAuth (конечно, теперь все ясно). Вы могли заметить, что мой options.CallbackPath отличается от RedirectUri, переданного в Challenge в конечной точке login. Я ожидал, что option.CallbackPath будет вызываться поставщиком OAuth 3-й части, но это не так (очевидно). Мне пришлось установить для CallbackPath то же значение, которое я установил в конфигурации провайдера OAuth (например, учебник Jerries с GitHub), чтобы он работал. Это правильно? Обратный вызов используется только для настройки соответствия? Я даже могу прокомментировать конечную точку CallbackPath, и она продолжит работать так же...

Спасибо!