Authentication Cookie随机未设置致用户无法登录问题排查求助

问题现象 #

• 部分用户随机出现无法登录，Authentication Cookie未成功生效，始终处于未登录状态
• Chrome、Edge均有用户反馈，问题并非频繁发生，切换浏览器后可能恢复正常
• 客户端存在两个不同Domain的同名认证Cookie，删除其中一个后，系统仍识别会话中存在另一个Cookie

相关代码 #

var ticket = new FormsAuthenticationTicket(
        2,
        data,
        DateTime.Now,
        DateTime.Now.AddMinutes(FormsAuthentication.Timeout.TotalMinutes),
        false,
        JsonConvert.SerializeObject(member, Formatting.None),
        FormsAuthentication.FormsCookiePath);
    
var cookie = new HttpCookie(FormsAuthentication.FormsCookieName, FormsAuthentication.Encrypt(ticket))
{
    Secure = true,
    Path = FormsAuthentication.FormsCookiePath,
    SameSite = SameSiteMode.None
};
    
cookie.Domain = SportEngine.SportHost;
    
if (ticket.IsPersistent)
    cookie.Expires = ticket.Expiration;
    
HttpContext.Current.Response.Cookies.Add(cookie);

核心原因 #

• 多Domain Cookie冲突：SportEngine.SportHost的值在某些场景下可能发生变化（比如有时带www前缀、有时不带，或是不同子域名），导致浏览器生成两个不同Domain的同名认证Cookie。
• 请求时浏览器可能优先发送旧Domain的Cookie，而服务器只识别新Domain的Cookie，直接导致认证失败；删除其中一个Cookie时，另一个仍存储在浏览器中，服务器依然无法匹配到有效认证信息。
• 切换浏览器后，旧Cookie不存在，因此能正常完成登录。

解决方案 #

1. 统一Cookie Domain配置

   • 确保SportEngine.SportHost的值始终一致，建议设置为带前缀点的顶级域名（如.yourdomain.com），这样所有子域名都能共享该Cookie，避免生成多个不同Domain的Cookie。
   • 检查配置文件或动态生成SportEngine.SportHost的逻辑，杜绝域名格式随机切换的情况（比如www与非www的切换）。

2. 主动清理冲突Cookie

   • 在登录流程中，先清除所有同名但Domain不匹配的旧Cookie，再设置新Cookie：

     // 遍历请求中的同名Cookie，清理旧Domain的无效Cookie
     foreach (string cookieName in HttpContext.Current.Request.Cookies)
     {
         if (cookieName == FormsAuthentication.FormsCookieName)
         {
             HttpCookie existingCookie = HttpContext.Current.Request.Cookies[cookieName];
             // 仅清理Domain与目标不一致的Cookie
             if (existingCookie.Domain != SportEngine.SportHost)
             {
                 HttpCookie deleteCookie = new HttpCookie(cookieName)
                 {
                     Domain = existingCookie.Domain,
                     Path = FormsAuthentication.FormsCookiePath,
                     Expires = DateTime.Now.AddDays(-1),
                     Secure = true,
                     SameSite = SameSiteMode.None
                 };
                 HttpContext.Current.Response.Cookies.Add(deleteCookie);
             }
         }
     }
     
     // 原有设置新Cookie的代码
     var ticket = new FormsAuthenticationTicket(
             2,
             data,
             DateTime.Now,
             DateTime.Now.AddMinutes(FormsAuthentication.Timeout.TotalMinutes),
             false,
             JsonConvert.SerializeObject(member, Formatting.None),
             FormsAuthentication.FormsCookiePath);
         
     var cookie = new HttpCookie(FormsAuthentication.FormsCookieName, FormsAuthentication.Encrypt(ticket))
     {
         Secure = true,
         Path = FormsAuthentication.FormsCookiePath,
         SameSite = SameSiteMode.None,
         Domain = SportEngine.SportHost
     };
         
     if (ticket.IsPersistent)
         cookie.Expires = ticket.Expiration;
         
     HttpContext.Current.Response.Cookies.Add(cookie);
     

3. 验证Cookie设置一致性

   • 在登录成功后，将当前Cookie的Domain值写入日志，排查是否存在Domain随机变化的场景。
   • 确保所有请求都通过HTTPS访问：因为Cookie设置了Secure = true，非HTTPS环境下浏览器会拒绝保存该Cookie，这可能也是部分用户无法登录的隐藏原因。

4. 持久化Cookie的额外校验

   • 当前代码中ticket.IsPersistent设为false，如果后续启用持久化Cookie，要确保Expires时间与Domain统一，避免持久化Cookie和会话Cookie产生冲突。

内容的提问来源于stack exchange，提问作者Mike Flynn