代理后ASP.NET MVC应用Azure AD认证问题：.AspNet.Cookies Cookie缺失

一、追踪.AspNet.Cookies Cookie颁发问题 #

• 启用Owin认证日志：在Startup.cs中添加日志配置，输出Microsoft.Owin.Security相关日志，重点查看登录回调后Cookie创建环节的错误信息。测试环境可临时启用app.UseDebugPage()快速查看认证流程细节。
• 浏览器开发者工具排查：
  • 打开Chrome开发者工具Application标签，查看Cookies面板，确认登录回调后.AspNet.Cookies是否被设置。若未设置，切换到Network标签，检查/signin-oidc回调请求的响应头，看是否包含Set-Cookie字段及其中的错误提示（如SameSite属性冲突、Secure属性不满足、域名不匹配等）。
  • 查看Console标签的Cookie相关错误，确认SameSite问题是否完全解决。
• 服务器端日志检查：配置IIS的Failed Request Tracing，追踪登录回调请求，分析请求处理过程中是否有模块拦截Cookie设置，或认证中间件抛出异常。

二、代理SSL终止场景的额外配置 #

由于代理层终止SSL，IIS收到HTTP请求，Owin默认会判定请求不安全，导致带Secure属性的Cookie无法设置，这是核心问题之一，需做以下配置：

1. 告知Owin信任代理请求 #

在Startup.cs的ConfigureAuth方法中，添加中间件显式设置请求Scheme（必须在UseOpenIdConnectAuthentication之前）：

app.Use((context, next) => {
    if (context.Request.Headers.ContainsKey("X-Forwarded-Proto"))
    {
        context.Request.Scheme = context.Request.Headers["X-Forwarded-Proto"];
    }
    return next();
});

此操作让Owin识别到原始请求为HTTPS，从而正确设置Cookie的Secure属性。

2. 配置IIS转发头与Cookie规则 #

在web.config中添加重写规则，确保代理传递的X-Forwarded-Proto头被IIS正确处理：

<system.webServer>
  <rewrite>
    <rules>
      <rule name="ForwardProto" stopProcessing="true">
        <match url="(.*)" />
        <serverVariables>
          <set name="HTTP_X_FORWARDED_PROTO" value="https" />
        </serverVariables>
        <action type="None" />
      </rule>
    </rules>
  </rewrite>
</system.webServer>
<system.web>
  <httpCookies domain="你的生产域名" requireSSL="false" />
</system.web>

requireSSL="false"是因为IIS收到的是HTTP请求，但Owin会根据我们设置的Scheme自动为Cookie添加Secure属性，无需IIS强制要求SSL。

3. 调整OpenIdConnect认证配置 #

在Startup.cs的OpenIdConnectAuthenticationOptions中，确保回调地址为生产环境HTTPS地址，并配置Cookie属性：

app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions
{
    ClientId = ConfigurationManager.AppSettings["AzureAD:ClientId"],
    Authority = ConfigurationManager.AppSettings["AzureAD:Authority"],
    RedirectUri = "https://你的生产域名/signin-oidc",
    PostLogoutRedirectUri = "https://你的生产域名/",
    Notifications = new OpenIdConnectAuthenticationNotifications
    {
        AuthenticationFailed = context =>
        {
            context.HandleResponse();
            context.Response.Redirect("/Error?message=" + context.Exception.Message);
            return Task.FromResult(0);
        }
    },
    CookieAuthenticationOptions = new CookieAuthenticationOptions
    {
        CookieName = ".AspNet.Cookies",
        SecureMode = CookieSecureMode.SameAsRequest,
        SameSite = SameSiteMode.None,
        CookieHttpOnly = true,
        CookieDomain = "你的生产域名"
    }
});

三、SameSite Cookie错误的补充处理 #

确保global.asax中的SameSite处理代码覆盖所有Cookie，尤其是Owin创建的Cookie：

protected void Application_BeginRequest(object sender, EventArgs e)
{
    var context = HttpContext.Current;
    bool isHttps = context.Request.IsSecureConnection || context.Request.Headers["X-Forwarded-Proto"] == "https";
    if (isHttps)
    {
        foreach (string cookieName in context.Request.Cookies.AllKeys)
        {
            var cookie = context.Request.Cookies[cookieName];
            if (cookie != null && string.IsNullOrEmpty(cookie.SameSite))
            {
                cookie.SameSite = SameSiteMode.None;
                cookie.Secure = true;
                context.Response.Cookies.Set(cookie);
            }
        }
    }
}

同时确保项目已安装最新版Microsoft.Owin.Security.Cookies，避免版本过低无法支持SameSite.None属性。

四、最终验证点 #

• 确认代理服务器已正确传递X-Forwarded-Proto: https头到IIS。
• 登录回调后，查看响应头的Set-Cookie字段，确保包含Secure; SameSite=None; HttpOnly属性，且域名与生产域名匹配。
• 检查IIS站点的Authentication设置，确保匿名认证启用，无其他认证模块干扰流程。

内容的提问来源于stack exchange，提问作者Jay