ASP.NET多Web API微服务共享身份Cookie及读取用户Claims问题咨询

问题1：为什么同一解决方案不同端口的API会自动共享Cookie？ #

这其实是浏览器Cookie机制和你当前配置共同作用的结果：

• 浏览器的Cookie匹配规则：当你没有显式设置Cookie的Domain属性时，浏览器会默认将Cookie绑定到当前请求的主机名（比如localhost）。而浏览器的Cookie策略中，端口不属于主机名的匹配条件——只要主机名相同（都是localhost），不管端口是多少，浏览器都会在请求时自动携带这个Cookie。
• 你的Cookie配置：你当前的ConfigureApplicationCookie只设置了Cookie.Name，没有指定Domain，所以Cookie默认关联到localhost。这就导致同一解决方案下运行在不同端口的API，只要请求的主机是localhost，浏览器都会带上这个Cookie，看起来就像“自动共享”了。

不过要注意：如果你的API部署到生产环境，不同域名（或子域名）的话，就需要显式设置Domain属性（比如.yourdomain.com）才能跨域共享Cookie，同时还要配合CORS配置允许携带凭证。

问题2：如何从Cookie中读取登录用户的Claims？ #

因为只有Identity API拥有SignInManager和UserManager，其他API需要通过Cookie认证中间件解密Cookie并生成ClaimsPrincipal来获取用户信息，具体步骤如下：

第一步：在所有API中统一配置Cookie认证 #

不管是Identity API还是其他业务API，都需要在Program.cs中配置相同的Cookie认证参数，确保能识别同一个Cookie：

// 所有API都要加这段配置
builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        options.Cookie.Name = "Identity.Cookie"; // 和Identity API的Cookie名称保持一致
        // 其他可选配置，比如过期时间、路径等
        options.ExpireTimeSpan = TimeSpan.FromHours(8);
        options.Cookie.Path = "/"; // 默认就是根路径，确保所有API路径都能匹配
    });

// 别忘了启用认证中间件
app.UseAuthentication();
app.UseAuthorization();

第二步：共享数据保护密钥（关键！） #

ASP.NET Core的Cookie是经过加密的，不同API如果使用不同的数据保护密钥，就无法解密对方生成的Cookie。所以必须让所有API共享同一个数据保护密钥：

方案1：文件存储共享密钥（适合开发或小体量部署）

在所有API的Program.cs中添加以下配置，指定同一个密钥存储目录：

builder.Services.AddDataProtection()
    .PersistKeysToFileSystem(new DirectoryInfo(@"C:\YourSharedKeyFolder")) // 替换为实际的共享目录
    .SetApplicationName("YourSharedAppName"); // 所有API使用同一个应用名称

方案2：分布式缓存存储（适合生产环境，比如Redis）

如果是生产环境，更推荐用分布式缓存来存储密钥，比如Redis：

builder.Services.AddDataProtection()
    .PersistKeysToStackExchangeRedis(ConnectionMultiplexer.Connect("your-redis-connection-string"), "DataProtection-Keys")
    .SetApplicationName("YourSharedAppName");

第三步：读取用户Claims #

配置完成后，在任意API的控制器中，直接通过HttpContext.User就能访问用户的Claims：

[ApiController]
[Route("api/[controller]")]
public class TestController : ControllerBase
{
    [HttpGet("user-info")]
    [Authorize] // 需要添加Authorize特性确保用户已登录
    public IActionResult GetUserInfo()
    {
        // 获取用户ID
        var userId = User.FindFirstValue(ClaimTypes.NameIdentifier);
        // 获取用户名
        var userName = User.FindFirstValue(ClaimTypes.Name);
        // 获取所有Claims
        var allClaims = User.Claims.Select(c => new { c.Type, c.Value }).ToList();
        
        return Ok(new { UserId = userId, UserName = userName, Claims = allClaims });
    }
}

关于你提到的CookieHandler问题 #

你遇到的CookieHandler是属于System.Web命名空间的，那是**传统ASP.NET（非Core）**的组件，和你当前使用的ASP.NET Core完全不兼容，所以直接忽略它就行——ASP.NET Core已经通过CookieAuthenticationMiddleware实现了所有需要的Cookie处理逻辑。

内容的提问来源于stack exchange，提问作者Andrеw