Скорее всего потому что рефлексия не может понять что есть у метода которым ты расширяешь контроллер и использовать инъекции зависимостей проблематично.
Я вот этого не знаю, поэтому спросил у более опытных специалистов)
Перейти на oAuth и дать возможность пользователям видеть под каким устройством они авторизованы и вообще под какими устройствами. С возможностью разлогинить на всех устройствах.