已发布站点Identity Cookie提前失效求助（本地环境正常）

本地localhost环境下Cookie功能正常，但线上站点登录后，Cookie未按配置的1天有效期存续，提前失效。

Cookie配置代码 #

public static void ConfigureCookie(this IServiceCollection services)
{
    services.ConfigureApplicationCookie(options =>
    {
        options.LoginPath = "/Account/Login";
        options.AccessDeniedPath = "/Account/AccessDenied";
        
        options.Cookie = new()
        {
            Name = "ta_cookie",
            HttpOnly = true,
            SameSite = SameSiteMode.Lax,
            SecurePolicy = CookieSecurePolicy.Always,
            IsEssential = true
        };
        options.SlidingExpiration = true;
        options.ExpireTimeSpan = TimeSpan.FromDays(1);
    });
}

登录相关代码 #

var result = await _signInManager
                .PasswordSignInAsync(user, model.LoginModel.Password,
                    model.LoginModel.RememberMe, true);
            
if (result.Succeeded)
{
    return RedirectToAction("Index", "Home");
}

希望线上站点能像本地一样实现1天有效期的会话，请问是否可能是Cloudflare导致的问题？

问题分析与排查建议 #

1. 代码逻辑潜在问题排查 #

• RememberMe参数的影响：如果登录时model.LoginModel.RememberMe未勾选，ASP.NET Core会生成会话Cookie，这类Cookie无明确过期时间，浏览器关闭即失效，不会遵循ExpireTimeSpan的1天设置。需确认线上登录时用户是否勾选“记住我”，或代码中是否默认将该值设为true。
• SecurePolicy配置验证：你设置了CookieSecurePolicy.Always，意味着Cookie仅在HTTPS连接下才会被发送。若线上站点存在HTTP请求（如部分资源或跳转未用HTTPS），Cookie可能无法正常留存。需确保线上全站HTTPS配置正确。

2. Cloudflare相关排查点 #

Cloudflare确实可能影响Cookie的有效期或传递，常见原因包括：

• 页面规则与缓存设置：若登录页面或认证路径被Cloudflare缓存，会导致Cookie未正确生成或更新。需在Cloudflare页面规则中为/Account/Login等路径设置缓存级别：绕过缓存。
• SSL/TLS模式设置：若SSL模式为“关闭”或“灵活”（源站未配置HTTPS），会导致带Secure属性的Cookie无法被浏览器正确存储。建议将SSL/TLS模式设为“严格”，并确保源站配置有效SSL证书。
• 功能干扰（Auto Minify/Rocket Loader）：Cloudflare的Auto Minify、Rocket Loader等功能可能意外修改Cookie属性。可临时关闭这些功能测试是否恢复正常。
• Workers或转换规则：若使用了Workers或自定义转换规则，可能修改了响应头中的Set-Cookie属性（如覆盖过期时间）。检查相关规则是否有修改Cookie的逻辑。
• 会话亲和性配置：会话亲和性配置错误可能导致请求分发到不同后端实例，出现会话不一致，看起来像Cookie失效。检查是否开启了会话亲和性并确认配置正确。

3. 额外验证步骤 #

• 浏览器开发者工具检查：登录成功后，打开浏览器F12→应用程序→Cookie，查看ta_cookie的Expires/Max-Age是否为1天后。若线上显示的过期时间不正确，说明后端生成Cookie时存在问题；若过期时间正确但仍提前失效，再聚焦Cloudflare或浏览器环境排查。
• 后端日志核查：查看线上服务器日志，确认登录时RememberMe参数的实际值，以及Cookie生成时的配置是否正确应用。

内容的提问来源于stack exchange，提问作者grant