重启IIS后Blazor应用出现身份验证异常问题

可能的问题原因 #

• Cookie验证密钥未持久化：ASP.NET Core Identity默认自动生成临时密钥存储在服务器内存中，IIS重启后密钥丢失，导致Cookie验证时错误匹配用户身份，出现串户。
• 应用池进程隔离失效：如果应用池使用域账户作为运行标识，或开启了重叠回收，新旧进程可能共享会话数据，引发用户身份错乱；进程内会话存储在重启后也可能出现数据映射错误。
• AD域认证模块冲突：服务器加入AD后，IIS默认启用的Windows身份验证模块可能和ASP.NET Core Identity的Cookie认证产生冲突，自动以AD身份覆盖应用内的用户身份。
• 用户缓存未清空：应用中如果用内存缓存存储用户信息，IIS重启后缓存未清理，残留的旧数据会导致新登录用户匹配到错误的身份。

针对性解决建议 #

• 固定Cookie验证密钥：在Program.cs中配置持久化的数据保护密钥，避免重启后密钥丢失：

builder.Services.AddDataProtection()
    .PersistKeysToFileSystem(new DirectoryInfo(@"C:\SecureKeys"))
    .SetApplicationName("YourBlazorAppName");

// 同时配置ApplicationCookie
builder.Services.ConfigureApplicationCookie(options =>
{
    options.Cookie.Name = ".YourBlazorApp.Identity";
    options.ExpireTimeSpan = TimeSpan.FromHours(8);
    options.LoginPath = "/Login";
});

确保密钥存储目录权限仅允许服务器管理员访问，避免泄露。

• 调整IIS应用池配置：

  1. 打开IIS管理器，找到目标应用池，进入高级设置；
  2. 将进程模型下的标识设置为ApplicationPoolIdentity；
  3. 禁用回收下的启用重叠回收，防止新旧进程同时运行导致会话冲突；
  4. 确保回收规则仅在必要时触发，避免频繁回收引发问题。

• 禁用冲突的IIS身份验证模块：

  1. 在IIS中找到Blazor应用的身份验证功能；
  2. 禁用Windows身份验证、Digest身份验证等不需要的模块，仅保留匿名身份验证；
  3. 在应用的web.config中添加配置锁定设置：

<system.webServer>
  <security>
    <authentication>
      <anonymousAuthentication enabled="true" />
      <windowsAuthentication enabled="false" />
    </authentication>
  </security>
</system.webServer>

• 清理启动时的用户缓存：在应用启动逻辑中（Program.cs的app.Run()之前），清空所有用户相关的内存缓存，比如：

// 假设你使用了IMemoryCache
var cache = app.Services.GetRequiredService<IMemoryCache>();
cache.Remove("UserCacheKeyPrefix");
// 或者根据实际情况清空对应缓存项

• 修复登出逻辑：确保登出时完全清除身份凭证和会话数据：

public async Task Logout()
{
    await HttpContext.SignOutAsync(IdentityConstants.ApplicationScheme);
    await HttpContext.SignOutAsync(IdentityConstants.ExternalScheme);
    HttpContext.Session.Clear();
    NavigationManager.NavigateTo("/Login");
}

内容的提问来源于stack exchange，提问作者hmzshl