如何在OpenIddict登录后将JWT Token存入Cookie？

架构老林

2026-6-18

解决方案

问题根源在于调用SignInAsync后，OpenIddict已经完成响应的初步构建，此时HttpContext.Response的响应头已被锁定为只读状态，无法再添加Cookie。

正确的做法是利用OpenIddict的事件机制，在Token响应构建过程中注入Cookie逻辑：

在OpenIddict服务器配置中注册ApplyTokenResponse事件
在Program.cs（或Startup.cs）的OpenIddict服务配置里添加事件处理：

builder.Services.AddOpenIddict()
    .AddServer(options =>
    {
        // 保留你原有的服务器配置（如授权端点、令牌端点等）
        options.AddEventHandler<OpenIddictServerEvents.ApplyTokenResponseContext>(context =>
        {
            // 仅当AccessToken存在时写入Cookie
            if (!string.IsNullOrEmpty(context.Response.AccessToken))
            {
                context.HttpContext.Response.Cookies.Append("token", context.Response.AccessToken, new CookieOptions
                {
                    Expires = DateTimeOffset.UtcNow.AddSeconds(context.Response.ExpiresIn ?? 3600),
                    HttpOnly = true, // 开启HttpOnly避免XSS攻击
                    Secure = builder.Environment.IsProduction(), // 生产环境强制HTTPS传输Cookie
                    SameSite = SameSiteMode.Lax // 根据业务场景调整SameSite策略
                });
            }
            return Task.CompletedTask;
        });
    });

简化控制器代码
删除控制器中手动添加Cookie的逻辑，只保留核心的SignIn流程：

var principal = await CreatePrincipalAsync(user);
principal.SetScopes(OpenIddictConstants.Scopes.OfflineAccess);

await HttpContext.SignInAsync(OpenIddictServerAspNetCoreDefaults.AuthenticationScheme, principal);

return Ok();