安全Cookie过期失效问题：代码未变更但无法清除旧Cookie

问题背景 #

六个月前可正常运行的代码未做任何变更，但当前清除Cookie的逻辑失效，浏览器仍保留旧Cookie值。

相关代码 #

private void ExecuteResultAction(ActionContext context)
{
    var http = context.HttpContext;
    CookieOptions? activeOptions = null;
    CookieOptions? removeOptions = null;

    foreach (var cookie in cookies)
        if (string.IsNullOrEmpty(cookie.Value))
        {
            if (removeOptions is null) removeOptions = new CookieOptions
                {
                    Expires = new DateTime(2000, 1, 1, 0, 0, 0, DateTimeKind.Utc)
                };
            http.Response.Cookies.Append(cookie.Key, cookie.Value, removeOptions);
        }
        else
        {
            if (activeOptions is null) activeOptions = UserAgent.GetCookieOptions(http);
            http.Response.Cookies.Append(cookie.Key, cookie.Value, activeOptions);
        }
    http.Response.Redirect(locus, perm);
}

现象描述 #

• 响应已生成正确的过期Cookie头（小写set-cookie是浏览器显示的正常现象）：
  set-cookie: ctoken5099=; expires=Sat, 01 Jan 2000 00:00:00 GMT; path=/
• 但浏览器下一次请求仍携带旧Cookie值：
  Cookie: ctoken5099=old value
• 正常创建Cookie时的响应头格式正确：
  set-cookie: ctoken5099=value; path=/; secure; samesite=lax
• Chrome与Firefox均存在此问题

解决方案分析 #

问题根源 #

当前清除Cookie时仅设置了Expires属性，但原Cookie创建时带有secure、SameSite=Lax等关键属性。现代浏览器严格遵循Cookie规范，要求清除操作的Cookie属性（包括Secure、SameSite、Path、Domain）必须与原Cookie完全匹配，否则无法覆盖或清除原Cookie。这是浏览器安全规范执行收紧导致的，并非浏览器Bug。

调整http.Response.Cookies调用即可解决 #

无需手动注入响应头，修改removeOptions的创建逻辑，复用原Cookie的属性配置再覆盖过期时间：

if (removeOptions is null) 
{
    // 复用创建Cookie时的配置，确保属性完全匹配
    removeOptions = UserAgent.GetCookieOptions(http);
    // 设置过期时间完成清除
    removeOptions.Expires = new DateTime(2000, 1, 1, 0, 0, 0, DateTimeKind.Utc);
}

为什么此前正常？ #

旧版浏览器对Cookie属性匹配的规则较宽松，可能允许不匹配Secure/SameSite等属性就清除Cookie，但随着浏览器安全规范升级，现在必须严格匹配所有关键属性才能生效。

内容的提问来源于stack exchange，提问作者Joshua