Blazor应用外部回调返回后登录用户异常问题求助

这是因为**“记住我”生成的持久化认证Cookie未被正确清除**导致的：

• 勾选“记住我”登录root时，系统会创建一个长期有效的持久化身份认证Cookie；
• 退出登录时，默认的SignOut操作通常只清理会话级Cookie，不会删除这个持久化Cookie；
• 后续用free账号登录（未勾选“记住我”），系统仅生成会话级Cookie（有效期到浏览器关闭）；
• 支付回调时，浏览器同时发送持久化的root Cookie和会话级的free Cookie，服务器优先读取持久化Cookie，导致身份被切换回root。

1. 退出登录时强制清除持久化Cookie #

修改退出登录的逻辑，确保同时删除“记住我”生成的持久化认证Cookie。在你的Logout组件中添加以下逻辑：

@inject SignOutManager<IdentityUser> SignOutManager
@inject IHttpContextAccessor HttpContextAccessor

<button @onclick="PerformLogout">退出登录</button>

@code {
    private async Task PerformLogout()
    {
        // 执行标准退出流程
        await SignOutManager.SignOutAsync();
        
        // 强制删除持久化身份认证Cookie
        var cookieName = CookieAuthenticationDefaults.CookiePrefix + ".AspNetCore.Identity.Application";
        HttpContextAccessor.HttpContext.Response.Cookies.Delete(
            cookieName,
            new CookieOptions 
            { 
                // 如果你的应用有指定域名，这里需要匹配，否则可省略
                Domain = "your-app-domain.com" 
            }
        );
    }
}

2. 登录时覆盖旧的持久化Cookie（针对未勾选“记住我”的场景） #

如果用户登录时未勾选“记住我”，登录成功后主动清除之前可能存在的持久化Cookie，避免后续冲突：

// 在Login组件的登录方法中
var result = await SignInManager.PasswordSignInAsync(Input.Email, Input.Password, Input.RememberMe, lockoutOnFailure: false);
if (result.Succeeded && !Input.RememberMe)
{
    var cookieName = CookieAuthenticationDefaults.CookiePrefix + ".AspNetCore.Identity.Application";
    HttpContextAccessor.HttpContext.Response.Cookies.Delete(
        cookieName,
        new CookieOptions { Domain = "your-app-domain.com" }
    );
}

3. 支付回调页面添加身份校验 #

在支付回调页面，验证当前登录用户是否为发起支付的用户，不一致则强制清理身份并跳转：

@inject SignOutManager<IdentityUser> SignOutManager
@inject NavigationManager NavigationManager
@inject IHttpContextAccessor HttpContextAccessor
@attribute [Authorize]

@code {
    protected override async Task OnInitializedAsync()
    {
        // 发起支付时，将用户ID存入Session
        // （发起支付的逻辑中添加：HttpContext.Session.SetString("PaymentInitiatorId", User.FindFirstValue(ClaimTypes.NameIdentifier));）
        
        var initiatorId = HttpContextAccessor.HttpContext.Session.GetString("PaymentInitiatorId");
        var currentUserId = User.FindFirstValue(ClaimTypes.NameIdentifier);
        
        if (initiatorId != currentUserId)
        {
            // 清除异常身份
            await SignOutManager.SignOutAsync();
            // 跳转至登录页或提示页面
            NavigationManager.NavigateTo("/login?error=身份验证异常，请重新登录");
        }
        
        // 后续处理支付回调逻辑
        await base.OnInitializedAsync();
    }
}

额外配置优化（可选） #

在Program.cs中配置Cookie认证时，调整Cookie的SameSite属性，避免跨域场景下的Cookie优先级问题：

builder.Services.ConfigureApplicationCookie(options =>
{
    options.Cookie.SameSite = SameSiteMode.Lax;
    // 其他配置...
});

内容的提问来源于stack exchange，提问作者AndreiM