Visual Studio调试会话间Owin登录Cookie无法持久化问题

以下是针对「新Windows 11工作站调试时，每次重建项目都会丢失登录状态（Cookie存在但被忽略）」问题的解决方案：

1. 配置固定Machine Key #

旧Win Server 2022环境可能已配置固定Machine Key，而新工作站默认自动生成密钥，每次重建应用池会重置密钥，导致Cookie验证失败。

在项目的Web.config的<system.web>节点下添加固定Machine Key：

<system.web>
    <!-- 可从旧工作站Web.config复制，或自行生成固定密钥 -->
    <machineKey validationKey="YOUR_VALIDATION_KEY" 
                decryptionKey="YOUR_DECRYPTION_KEY" 
                validation="SHA1" 
                decryption="AES" />
</system.web>

2. 持久化Owin Data Protection密钥 #

Owin Cookie认证默认使用Data Protection API，Windows 11和Server 2022的密钥存储机制不同，调试重启会导致密钥丢失。

修改Startup.cs，指定Data Protection的持久化存储目录：

using Microsoft.Owin.Security.DataProtection;
using System.IO;
using System.Web;

public void Configuration(IAppBuilder app)
{
    // 配置Data Protection密钥存储到App_Data目录
    var keyStoragePath = Path.Combine(HttpContext.Current.Server.MapPath("~/App_Data"), "OwinKeys");
    Directory.CreateDirectory(keyStoragePath);
    var dataProtectionProvider = new DpapiDataProtectionProvider(keyStoragePath);
    app.SetDataProtectionProvider(dataProtectionProvider);

    InitApp.Init();
    this.ConfigureAuth(app);
}

3. 调整VS调试设置 #

检查VS项目调试配置，避免每次重建重置服务器：

• 右键项目 → 属性 → 「Web」选项卡
• 在「服务器」区域，确保未勾选「每次启动浏览器时重新启动服务器」
• 勾选「启用编辑并继续」，减少重建时的应用池重启频率

同时确认Chrome浏览器未启用隐私模式，且允许本地Cookie（在Chrome设置→隐私和安全→Cookie和其他网站数据中，确保允许所有Cookie）。

4. 配置Cookie的SameSite和Secure属性 #

Windows 11下的现代浏览器对Cookie的SameSite属性要求更严格，调整Cookie配置：
修改ConfigureAuth方法中的CookieAuthenticationOptions：

CookieAuthenticationOptions options = new CookieAuthenticationOptions();
string str = "ApplicationCookie";
options.AuthenticationType = str;
options.LoginPath = new PathString("/Account/Login");
// 添加以下配置
options.Cookie.SameSite = SameSiteMode.Lax;
options.Cookie.Secure = false; // 本地调试用HTTP，生产环境改为true
options.Provider = new CookieAuthenticationProvider()
{
    OnValidateIdentity = SecurityStampValidator.OnValidateIdentity<ApplicationUserManager, ApplicationUser>(
        TimeSpan.FromMinutes(30.0), 
        (manager, user) => user.GenerateUserIdentityAsync(manager))
};
CookieAuthenticationExtensions.UseCookieAuthentication(app1, options);

问题根源说明 #

旧Win Server 2022环境的IIS/VS调试默认配置更稳定，密钥不会随重建频繁重置；而Windows 11本地调试时，自动生成的Machine Key或Data Protection密钥会在应用重启时失效，导致已存在的Cookie无法被正确解密验证，最终触发重定向登录。

内容的提问来源于stack exchange，提问作者Tommy B.