ASP.NET Core设置SameSite为None时无法创建认证Cookie问题

我在测试跨域认证时，按照要求将认证Cookie的SameSite设置为SameSiteMode.None，但发现Chrome浏览器中无法创建该Cookie，设置为Lax或Strict则正常，Firefox中无此问题。相关代码如下：

builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
.AddCookie(options =>
           {
               options.Cookie.Name = "authen";
               options.Cookie.HttpOnly = true;
               options.Cookie.SecurePolicy = CookieSecurePolicy.None;
               options.Cookie.SameSite = SameSiteMode.None;
               options.Cookie.Path = "/";
               options.Cookie.Domain = "localhost";
           });

问题原因 #

Chrome 80及以上版本对SameSite=None的Cookie有强制要求：必须同时设置Secure属性，即Cookie只能通过HTTPS协议传输。而当前代码中options.Cookie.SecurePolicy = CookieSecurePolicy.None会禁用Secure属性，直接违反Chrome的规则，导致Cookie被浏览器拒绝创建。

解决方案 #

1. 生产环境配置（HTTPS环境）

将CookieSecurePolicy设置为CookieSecurePolicy.Always，确保Cookie仅通过HTTPS传输，同时保留SameSiteMode.None：

builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
.AddCookie(options =>
           {
               options.Cookie.Name = "authen";
               options.Cookie.HttpOnly = true;
               options.Cookie.SecurePolicy = CookieSecurePolicy.Always; // 修改此处
               options.Cookie.SameSite = SameSiteMode.None;
               options.Cookie.Path = "/";
               options.Cookie.Domain = "your-production-domain.com"; // 替换为实际生产域名
           });

2. 开发环境兼容（HTTP的localhost）

由于本地开发通常使用HTTP协议，无法设置Secure Cookie，可根据环境动态调整SameSite属性：

var isDevelopment = builder.Environment.IsDevelopment();

builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
.AddCookie(options =>
           {
               options.Cookie.Name = "authen";
               options.Cookie.HttpOnly = true;
               options.Cookie.SecurePolicy = isDevelopment ? CookieSecurePolicy.None : CookieSecurePolicy.Always;
               options.Cookie.SameSite = isDevelopment ? SameSiteMode.Lax : SameSiteMode.None;
               options.Cookie.Path = "/";
               options.Cookie.Domain = isDevelopment ? "localhost" : "your-production-domain.com";
           });

3. 本地开发启用HTTPS（可选）

如果需要在本地测试SameSite=None的行为，可以启用ASP.NET Core的HTTPS支持，这样就能正常设置Secure Cookie，无需修改SameSite属性。

内容的提问来源于stack exchange，提问作者Davood