我需要阻止用户登录到我的 ASP.NET Web API 2.0 Identity 3.0 支持的网站，直到管理帐户“激活”用户确认的注册 ApplicationUser 帐户。
我已经实现了 EmailConfirmed 逻辑来验证 ApplicationUser 帐户是否已使用有效的电子邮件地址注册。现在我正在寻找一个合适的地方来对我添加的 ApplicationUser.Activated 属性进行检查，除非它被设置为 true，否则会阻止登录。
我已经对 OAuthAuthorizationServerProvider 类进行了一些研究，但我认为我将不得不真正花一些时间并了解 OAuth 2.0 才能进入其中。任何人都可以就如何以及在哪里对这样的 Activated 属性实施测试提出建议吗？
PS - 如果不明显，我正在使用不记名令牌身份验证。