ASP.NET Identity服务端ExpireTimeSpan失效问题求助

核心问题：未配置登录Cookie过期规则 #

你当前的代码仅设置了账号锁定时长（Lockout.DefaultLockoutTimeSpan），完全没配置登录Cookie的过期参数，这是导致服务器端登录会话提前失效的根本原因。

具体原因分析 #

• 缺失Cookie过期配置：ASP.NET Identity的登录会话依赖Cookie维持，默认情况下若未显式配置ExpireTimeSpan，服务器可能采用系统默认的短期会话策略，或受应用池回收影响提前失效。
• 服务器IIS应用池回收：生产服务器的IIS应用池通常会定期回收（自定义或默认策略），回收后应用程序重启，默认的Cookie验证密钥会重置，导致已登录用户的Cookie无法通过验证，被迫登出。本地开发服务器（如IIS Express）不会频繁触发回收，因此无此问题。

解决步骤 #

1. 添加Cookie过期配置 #

在AddIdentity配置后，通过ConfigureApplicationCookie显式设置Cookie有效期：

builder.Services.AddIdentity<IdentityUser, IdentityRole>(option => 
{ 
    option.Lockout.DefaultLockoutTimeSpan = TimeSpan.FromDays(30); 
})
.AddEntityFrameworkStores<DataBaseContext>()
.AddDefaultTokenProviders()
.AddRoles<IdentityRole>();

// 新增Cookie配置
builder.Services.ConfigureApplicationCookie(options =>
{
    // 设置Cookie有效期，根据业务需求调整，比如30天
    options.ExpireTimeSpan = TimeSpan.FromDays(30);
    // 滑动过期：用户活跃时自动延长有效期
    options.SlidingExpiration = true;
    // 可选：指定登录路径
    options.LoginPath = "/Account/Login";
});

2. 处理IIS应用池回收问题 #

• 禁用不必要的应用池回收：在IIS管理器中找到对应应用池，进入“回收”设置，取消定期回收的勾选（若业务允许）。
• 配置固定机器密钥：若必须保留回收策略，在项目的web.config中添加固定的machineKey，避免回收后密钥重置：

<system.web>
  <machineKey 
    validationKey="生成的随机验证密钥" 
    decryptionKey="生成的随机解密密钥" 
    validation="SHA1" 
    decryption="AES" />
</system.web>

注：密钥可通过在线工具或代码生成，确保生产环境密钥保密且固定。

3. 确认登录参数有效性 #

你当前的登录代码await _signInManager.PasswordSignInAsync(userName, password, true, true);中，第三个参数isPersistent=true是正确的，它会让Cookie持久化存储，配合ExpireTimeSpan生效。

内容的提问来源于stack exchange，提问作者loxeso3659