ASP.NET C#跨域共享Cookie/Session：跨域会话值传递方案问询

问题描述 #

我们有一台共享状态管理服务器，需要在modern.com和180algos.com两个域名间传递会话值。两个域名都会重定向到仅部署在modern.com的公共页面freelogin.aspx，需要在此页面获取session["sitename"]的值。

示例场景：

• modern.com/password.aspx存储session["sitename"] = "V3"；
• 180algos.com/login.aspx存储session["sitename"] = "360algos"；
• 无需重定向或查询字符串，直接访问https://modern.com/freelogin.aspx时，需在此页面识别来源站点并对应处理会话值。

现有freelogin.aspx.cs代码逻辑如下：

if (Session["sitename"] == "V3")
{
    // 来自modern站点的处理逻辑
}
else if (Session["sitename"] == "360algos")
{
    // 来自180algos站点的处理逻辑
}

需求：在ASP.NET中使用会话、Cookie或JWT等方案实现该功能，且直接访问上述链接时能获取存储的会话值；同时明确是否可跨不同域名传递数据。

可行解决方案 #

一、共享Session方案（适合同父域场景） #

如果两个域名同属一个父域（比如modern.example.com和180algos.example.com），结合你已有的共享状态服务器，可通过以下配置实现Session共享：

1. 统一Session存储：在两个站点的web.config中配置Session使用共享存储（如Redis、SQL Server），以保证Session数据互通：

<sessionState mode="Custom" customProvider="RedisSessionProvider">
  <providers>
    <add name="RedisSessionProvider" type="Microsoft.Web.Redis.RedisSessionStateProvider" connectionString="你的共享Redis连接串"/>
  </providers>
</sessionState>

2. 统一MachineKey：两个站点的web.config添加完全相同的MachineKey，确保SessionID的加密/解密逻辑一致：

<system.web>
  <machineKey validationKey="固定的验证密钥" decryptionKey="固定的解密密钥" validation="SHA1" decryption="AES"/>
</system.web>

3. 跨域Cookie设置：在存储Session["sitename"]的页面，将SessionID Cookie的域设置为父域：

Response.Cookies["ASP.NET_SessionId"].Domain = ".example.com";

完成后，两个站点会共享同一个SessionID Cookie，访问modern.com/freelogin.aspx时即可直接读取共享Session中的sitename值。

二、跨域Cookie方案（适配独立域名，兼容性有限） #

如果两个域名是完全独立的，可通过P3P头部配合Cookie配置实现跨域传递：

1. 添加P3P头部：在两个站点的Global.asax的Application_BeginRequest事件中添加，告知浏览器允许跨域Cookie共享：

Response.AddHeader("P3P", "CP=\"IDC DSP COR ADM DEVi TAIi PSA PSD IVAi IVDi CONi HIS OUR IND CNT\"");

2. 设置跨域Cookie：在存储sitename的页面，将Cookie的域指定为modern.com：

// 180algos.com/login.aspx的设置逻辑
HttpCookie sitenameCookie = new HttpCookie("sitename", "360algos");
sitenameCookie.Domain = "modern.com";
sitenameCookie.Path = "/";
sitenameCookie.HttpOnly = true;
Response.Cookies.Add(sitenameCookie);

// modern.com/password.aspx同理，将值设为"V3"

3. 读取Cookie值：在freelogin.aspx.cs中直接读取Cookie：

string sitename = Request.Cookies["sitename"]?.Value;
if (sitename == "V3")
{
    // 来自modern站点的处理逻辑
}
else if (sitename == "360algos")
{
    // 来自180algos站点的处理逻辑
}

注意：部分现代浏览器对跨域Cookie限制严格，需测试兼容性。

三、JWT方案（推荐独立域名场景） #

JWT无需依赖Cookie的跨域特性，结合共享状态服务器更可靠：

1. 生成并存储JWT：在两个站点的存储页面，生成包含sitename的JWT令牌，存入共享状态服务器，同时将令牌ID存入客户端Cookie：

// 需引用System.IdentityModel.Tokens.Jwt包
var tokenHandler = new JwtSecurityTokenHandler();
var key = Encoding.ASCII.GetBytes("共享的加密密钥");
var tokenDescriptor = new SecurityTokenDescriptor
{
    Subject = new ClaimsIdentity(new Claim[]
    {
        new Claim("sitename", "V3") // modern站点存"V3"，180algos存"360algos"
    }),
    Expires = DateTime.UtcNow.AddHours(1),
    SigningCredentials = new SigningCredentials(new SymmetricSecurityKey(key), SecurityAlgorithms.HmacSha256Signature)
};
var token = tokenHandler.CreateToken(tokenDescriptor);
string jwtToken = tokenHandler.WriteToken(token);

// 将JWT存入共享Redis，用唯一ID做键
string tokenId = Guid.NewGuid().ToString();
_redisClient.StringSet(tokenId, jwtToken, TimeSpan.FromHours(1));

// 将tokenId存入客户端Cookie
HttpCookie tokenIdCookie = new HttpCookie("tokenId", tokenId);
tokenIdCookie.Domain = Request.Url.Host;
tokenIdCookie.Path = "/";
tokenIdCookie.HttpOnly = true;
Response.Cookies.Add(tokenIdCookie);

2. 解析JWT获取sitename：在freelogin.aspx.cs中，读取Cookie中的tokenId，从共享服务器取出JWT并解析：

string tokenId = Request.Cookies["tokenId"]?.Value;
if (!string.IsNullOrEmpty(tokenId))
{
    string jwtToken = _redisClient.StringGet(tokenId);
    if (!string.IsNullOrEmpty(jwtToken))
    {
        var tokenHandler = new JwtSecurityTokenHandler();
        var key = Encoding.ASCII.GetBytes("共享的加密密钥");
        try
        {
            tokenHandler.ValidateToken(jwtToken, new TokenValidationParameters
            {
                ValidateIssuerSigningKey = true,
                IssuerSigningKey = new SymmetricSecurityKey(key),
                ValidateIssuer = false,
                ValidateAudience = false,
                ClockSkew = TimeSpan.Zero
            }, out SecurityToken validatedToken);

            var jwtToken = (JwtSecurityToken)validatedToken;
            string sitename = jwtToken.Claims.First(x => x.Type == "sitename").Value;

            if (sitename == "V3")
            {
                // 来自modern站点的处理逻辑
            }
            else if (sitename == "360algos")
            {
                // 来自180algos站点的处理逻辑
            }
        }
        catch
        {
            // 令牌验证失败的处理逻辑
        }
    }
}

跨域名传递数据的可行性 #

跨不同域名传递数据是可行的，但受浏览器同源策略限制，需根据域名场景选择方案：

• 同父域场景：可通过共享Session+跨域Cookie实现；
• 独立域名场景：可使用P3P+跨域Cookie（兼容性有限），或JWT+共享状态服务器（推荐）；
• 若需页面交互传递，还可使用PostMessage API，但不符合直接访问的需求。

内容的提问来源于stack exchange，提问作者ashok