Asp.net Core 8 MVC中Set-Cookie因Domain属性无效被拦截求助

我正在构建一个ASP.NET Core 8 MVC应用，仅包含一个Checker控制器。需求是在302重定向流程中设置一个持久Cookie，最终跳转到外部域名。流程为：Check1 Action重定向到同控制器的Check2 Action，Check2再重定向到外部URL。

• Check1地址：https://localhost:7058/checker/Check1
• Check2地址：https://localhost:7058/checker/Check2

在浏览器开发者工具的Network标签中可看到两次重定向，第一次从Check1到Check2的响应头出现警告：

This attempt to set a cookie via a Set-Cookie header was blocked because its Domain attribute was invalid with regards to the current host url.

Cookie未成功设置。

设置Cookie的代码 #

Response.Cookies.Append("afc", token, new CookieOptions
{
    Domain = baseUrl,
    IsEssential = true,
    Expires = DateTime.Now.AddDays(365),
    Secure = true,
    SameSite = SameSiteMode.Lax,
    Path = "/"
});

其中baseUrl被设置为"https://localhost:7058"

对应的Set-Cookie头信息 #

afc=test123; expires=Thu, 10 Apr 2025 17:15:54 GMT; domain=https://localhost:7058; path=/; secure; samesite=lax

已排查内容 #

• 应用使用HTTPS，本地和线上表现一致
• 调整Cookie设置：IsEssential和Secure均设为true，Domain和端口未变更，SameSite设为Strict、Lax或None均无差异
• 部署到IIS服务器（如subdomain.azure.com这类公网域名）时，问题依旧
• 返回View（200 Ok）而非RedirectToAction（302），问题仍存在
• Cookie Domain末尾带"/"或不带"/"均无差异

解决方案 #

核心问题是Cookie的Domain属性格式错误：Domain不能包含协议（https://），也不需要带端口（浏览器会自动处理localhost或非标准端口的匹配逻辑）。

修改方式1：硬编码正确域名 #

• 本地环境：

Response.Cookies.Append("afc", token, new CookieOptions
{
    Domain = "localhost", // 仅域名，无协议和端口
    IsEssential = true,
    Expires = DateTime.Now.AddDays(365),
    Secure = true,
    SameSite = SameSiteMode.Lax,
    Path = "/"
});

• 线上环境（如subdomain.azure.com）：

Response.Cookies.Append("afc", token, new CookieOptions
{
    Domain = "subdomain.azure.com",
    IsEssential = true,
    Expires = DateTime.Now.AddDays(365),
    Secure = true,
    SameSite = SameSiteMode.Lax,
    Path = "/"
});

修改方式2：动态获取域名（推荐） #

通过Request.Host自动获取当前域名，避免硬编码：

var domain = Request.Host.Host; // 自动返回localhost或subdomain.azure.com
Response.Cookies.Append("afc", token, new CookieOptions
{
    Domain = domain,
    IsEssential = true,
    Expires = DateTime.Now.AddDays(365),
    Secure = true,
    SameSite = SameSiteMode.Lax,
    Path = "/"
});

验证结果 #

修改后Set-Cookie头会变为：

afc=test123; expires=Thu, 10 Apr 2025 17:15:54 GMT; domain=localhost; path=/; secure; samesite=lax

此时浏览器可正确识别Domain属性，Cookie将被成功设置。

内容的提问来源于stack exchange，提问作者Tim