如何在ASP.NET Core中为AddMicrosoftIdentityWebApi配置HttpOnly Cookie验证

1. API端认证配置调整 #

别觉得改OnMessageReceived是变通方案——Microsoft.Identity.Web本身就是基于JwtBearer封装的，框架允许通过Events扩展令牌获取逻辑，这属于官方支持的自定义方式。直接在AddMicrosoftIdentityWebApi的配置委托里操作即可，不用脱离框架体系：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApi(options =>
    {
        // 绑定原有Entra ID配置
        configuration.Bind(ConfigurationKeys.AzureEntraIdSection, options);
        
        // 替换令牌来源：从指定Cookie取，替代默认的Authorization头
        options.Events.OnMessageReceived = context =>
        {
            if (context.Request.Cookies.TryGetValue("accessToken", out var accessToken) && !string.IsNullOrEmpty(accessToken))
            {
                context.Token = accessToken;
            }
            // 可选：保留Authorization头作为 fallback，适配特殊请求场景
            // else
            // {
            //     var authHeader = context.Request.Headers["Authorization"].FirstOrDefault();
            //     if (!string.IsNullOrEmpty(authHeader) && authHeader.StartsWith("Bearer "))
            //     {
            //         context.Token = authHeader.Substring(7);
            //     }
            // }
            return Task.CompletedTask;
        };
        
        // 保持Entra ID的Claims映射配置（按需调整）
        options.TokenValidationParameters.NameClaimType = "name";
    },
    jwtBearerSchemeOptions => { },
    configuration.GetSection(ConfigurationKeys.AzureEntraIdSection));

services.AddAuthorization();

2. 配置Cookie安全策略 #

API端要确保Cookie的安全属性，避免被窃取或滥用，在Program.cs中添加以下配置：

services.Configure<CookiePolicyOptions>(options =>
{
    options.MinimumSameSitePolicy = SameSiteMode.Strict;
    options.HttpOnly = HttpOnlyPolicy.Always;
    options.Secure = CookieSecurePolicy.Always; // 生产环境必须启用，本地开发可改为CookieSecurePolicy.None
});

// 注意要在UseAuthentication之前启用Cookie策略
app.UseCookiePolicy();

3. Svelte + Arctic前端适配 #

前端无法直接设置HttpOnly Cookie，需通过API接口完成：

1. 用Arctic完成Entra ID授权后，拿到access_token
2. 调用API的专门接口（比如/api/auth/set-cookie），将access_token传递给后端
3. API接口在响应中设置HttpOnly Cookie：

[HttpPost("set-cookie")]
public IActionResult SetAuthCookie([FromBody] string accessToken)
{
    var cookieOptions = new CookieOptions
    {
        HttpOnly = true,
        Secure = true,
        SameSite = SameSiteMode.Strict,
        Expires = DateTime.UtcNow.AddHours(1) // 需与令牌的过期时间匹配
    };
    Response.Cookies.Append("accessToken", accessToken, cookieOptions);
    return Ok();
}

后续前端发起API请求时，浏览器会自动携带该HttpOnly Cookie，无需手动设置Authorization头。

为什么这是合规的？ #

• 完全在Microsoft.Identity.Web的配置体系内操作，没有绕过框架的认证逻辑
• 保留了框架自带的令牌验证、Claims处理等原生能力，无需重复造轮子
• 符合安全最佳实践：HttpOnly Cookie从根源上避免XSS窃取令牌，配合Secure、SameSite属性进一步降低风险

内容的提问来源于stack exchange，提问作者nop