ASP.NET子应用无法读取父站点.ASPXAUTH Cookie的问题求助

要让https://my.example.com/test子应用读取父站点的.ASPXAUTH认证Cookie，需从Cookie路径配置、加密密钥一致性、认证参数匹配三个核心点调整：

1. 统一Forms认证Cookie的路径与域名 #

父站点的forms节点默认路径为站点根目录，但未显式配置时，子应用可能无法识别Cookie。需在父站点Web.config的forms标签中添加path="/"和domain=".my.example.com"，确保Cookie能被同域名下所有子应用访问：

<authentication mode="Forms">
  <forms loginUrl="~/Default.aspx" 
         defaultUrl="~/User/Default.aspx" 
         slidingExpiration="true" 
         timeout="30" 
         requireSSL="true"
         path="/"
         name=".ASPXAUTH"
         domain=".my.example.com" />
</authentication>

2. 确保父站与子应用的machineKey完全一致 #

ASP.NET的Forms认证Cookie为加密存储，子应用必须使用与父站点完全相同的加密/解密密钥才能解析Cookie。在父站和子应用的Web.config的<system.web>节点下添加相同的machineKey配置（密钥可通过ASP.NET专用工具生成）：

<system.web>
  <machineKey validationKey="生成的验证密钥"
              decryptionKey="生成的解密密钥"
              validation="SHA1"
              decryption="AES" />
  <!-- 其他配置项 -->
</system.web>

3. 调整子应用的认证配置 #

子应用的Web.config不能仅配置loginUrl，需保证forms节点的关键参数与父站完全匹配，确保认证逻辑一致：

<authentication mode="Forms">
  <forms loginUrl="~/../Default.aspx"
         slidingExpiration="true"
         timeout="30"
         requireSSL="true"
         path="/"
         name=".ASPXAUTH"
         domain=".my.example.com" />
</authentication>

额外检查项 #

• 确认父站与子应用的应用程序池均使用ASP.NET v4.7.2框架版本；
• 保持httpCookies的requireSSL="true"配置一致，确保Cookie仅通过HTTPS传输；
• 清除浏览器缓存后重新测试，避免旧Cookie干扰。

完成以上配置后，子应用即可读取父站点的.ASPXAUTH Cookie，User.Identity.IsAuthenticated将返回true。

内容的提问来源于stack exchange，提问作者Vaibhav Garg