ASP.NET Core Identity登录后User.Identity.IsAuthenticated始终返回False

使用ASP.NET Core Identity实现登录功能时，PasswordSignInAsync方法返回Succeeded（登录成功），但登录后执行var isLogin = User.Identity.IsAuthenticated;检查时始终返回false，无法访问需要登录权限的页面。手动调试显示用户未完成认证，浏览器已生成.AspNetCore.Identity.Application会话Cookie，但认证状态不生效。相关代码如下：

LoginFrom.cshtml（视图代码） #

@page
@model Navedehsas.Pages.Account.LoginModel
@{
    ViewData["Title"] = "ورود به سایت";
    Layout = "Shared/_AccountLayout";
}
<!-- 剩余视图代码省略 -->

LoginFrom.cshtml.cs（页面模型代码） #

public async Task<IActionResult> OnPostAsync(LoginDto command)
{
    if (!ModelState.IsValid) 
        return Page();

    var result = await accountService.LoginAsync(command.Username, 
        command.Password, command.RememberMe);

    return new JsonResult(result);
}

AccountService.cs（业务逻辑代码） #

public async Task<Result> LoginAsync(string emailOrUsername, string password, bool rememberMe)
{
    var user = await userManager.FindByNameAsync(emailOrUsername) 
               ?? await FindUserByEmailAsync(emailOrUsername);

    if (user == null)
        return Result.Failed("Invalid username or password");

    var result = await signInManager.PasswordSignInAsync(user.UserName ?? string.Empty, password, rememberMe, lockoutOnFailure: true);

    return result.Succeeded ? Result.Succeeded("Login successful") : Result.Failed(result.IsLockedOut ? "Account locked" : "Invalid username or password");
}

注：已在Program.cs中添加Identity、认证授权等相关中间件配置，但问题仍存在。

1. 当前请求上下文未刷新：PasswordSignInAsync仅生成认证Cookie，但当前请求的HttpContext.User是在请求开始时由认证中间件初始化的，不会在同一请求内自动更新。因此在登录接口的同一个请求里检查User.Identity.IsAuthenticated，得到的始终是登录前的未认证状态。
2. 未触发新请求：登录接口返回JsonResult后，前端未执行页面跳转，后续操作仍在原请求上下文里，没有让浏览器携带新Cookie发起新请求，认证中间件无法读取Cookie并更新用户身份。
3. 中间件顺序错误：若UseAuthentication()和UseAuthorization()顺序颠倒，或未放在正确位置，会导致认证逻辑不生效。
4. Cookie配置问题：Cookie的SameSite、Secure属性配置不当，会导致浏览器拒绝保存或发送Cookie。

1. 前端跳转触发新请求 #

登录成功后，前端必须执行页面跳转，让浏览器携带新生成的认证Cookie发起新请求，此时认证中间件会正确识别用户身份。示例前端代码：

// 假设使用AJAX发起登录请求
fetch('/Account/Login', {
    method: 'POST',
    body: new FormData(document.getElementById('loginForm'))
})
.then(response => response.json())
.then(result => {
    if (result.success) {
        window.location.href = '/'; // 跳转到首页或需认证页面
    } else {
        alert(result.message);
    }
});

2. 不在当前请求内检查认证状态 #

验证登录结果直接使用PasswordSignInAsync返回的result.Succeeded即可，不要在登录接口的同一请求中检查User.Identity.IsAuthenticated。

3. 确认中间件顺序正确 #

Program.cs中中间件必须遵循以下顺序：

var builder = WebApplication.CreateBuilder(args);

// 添加服务
builder.Services.AddDbContext<ApplicationDbContext>(options => 
    options.UseSqlServer(builder.Configuration.GetConnectionString("DefaultConnection")));
builder.Services.AddDefaultIdentity<IdentityUser>(options => options.SignIn.RequireConfirmedAccount = true)
    .AddEntityFrameworkStores<ApplicationDbContext>();

var app = builder.Build();

// 中间件顺序：静态文件 → 路由 → 认证 → 授权 → 端点映射
app.UseStaticFiles();

app.UseRouting();

// 认证必须在授权之前
app.UseAuthentication();
app.UseAuthorization();

app.MapRazorPages();
app.MapControllers();

app.Run();

4. 调整Cookie配置 #

根据部署环境配置Identity Cookie属性，确保浏览器能正常保存和发送：

builder.Services.ConfigureApplicationCookie(options =>
{
    options.Cookie.HttpOnly = true;
    options.ExpireTimeSpan = TimeSpan.FromMinutes(30);
    options.LoginPath = "/Account/Login";
    options.LogoutPath = "/Account/Logout";
    options.AccessDeniedPath = "/Account/AccessDenied";
    options.SameSite = SameSiteMode.Lax; // 本地开发用Lax，生产环境若用HTTPS可设为None
    options.Cookie.SecurePolicy = CookieSecurePolicy.SameAsRequest; // 本地HTTP开发用此设置，生产HTTPS用Always
});

内容的提问来源于stack exchange，提问作者Naved