ASP.NET Core身份验证Cookie：ExpireTimeSpan与Cookie.MaxAge差异及场景

先贴出核心配置代码：

builder.Services.ConfigureApplicationCookie(x => {
  x.SlidingExpiration = true; // 默认开启
  x.ExpireTimeSpan    = TimeSpan.FromDays(365); // 示例：票据有效期1年
  x.Cookie.MaxAge     = TimeSpan.FromMonths(3); // 示例：Cookie浏览器存储有效期3个月
});

先明确两个参数的核心区别：

• ExpireTimeSpan：控制服务器是否认可登录凭证。哪怕Cookie还在浏览器中，只要票据过期，服务器就会拒绝该凭证，用户必须重新登录。开启滑动过期后，用户每次发起活跃请求，都会自动刷新票据的有效期。
• Cookie.MaxAge：控制浏览器是否保留Cookie。一旦到达设定时长，浏览器会自动删除Cookie，无论服务器端的票据是否仍有效。

你提到的场景是完全符合预期的用法 #

你说的「用户每周登录/活跃，滑动过期让票据一直续期到1年，但Cookie到3个月就被浏览器删掉」，是典型的二者差异化配置的设计场景：

• 滑动过期+长ExpireTimeSpan保证活跃用户不用频繁登录，兼顾使用体验；
• 较短的Cookie.MaxAge强制用户每隔一段时间必须重新验证身份，避免Cookie长期驻留浏览器带来的被盗风险，平衡了安全与体验。

其他需要差异化配置的场景 #

1. 高安全需求场景：短期Cookie+可续期票据
   比如把Cookie.MaxAge设为1天，ExpireTimeSpan设为7天并开启滑动过期。用户当天关闭浏览器（或Cookie满1天）后，浏览器自动删除Cookie，下次访问必须重新登录；但当天内持续活跃的话，票据会一直续期。适合金融、涉密类系统，降低Cookie被盗用的风险。

2. 限制最长无操作有效期：固定Cookie时长+滑动票据
   比如Cookie.MaxAge设为30天，ExpireTimeSpan设为7天并开启滑动过期。用户登录后，Cookie会在30天后被删除，但只要每周至少操作一次，票据就一直有效；如果连续7天不操作，哪怕Cookie还在，服务器也会拒绝票据，要求重新登录。这种设计既给用户一定的免登窗口，又防止长期闲置的凭证仍处于有效状态。

3. 禁用滑动过期时的互补配置
   如果关闭SlidingExpiration，ExpireTimeSpan就是票据的固定有效期（比如2小时）。这时候：

   • 若想让Cookie和票据同步失效，就把Cookie.MaxAge设为和ExpireTimeSpan一致；
   • 若想避免Cookie比票据先失效（比如网络延迟导致票据仍有效但Cookie已被删除），可以把Cookie.MaxAge设得稍长一点（比如2小时10分钟）。

4. 「记住我」功能的精细化控制
   通常「记住我」会把ExpireTimeSpan设得很长（比如30天），但如果想限制Cookie的存储时长，比如把Cookie.MaxAge设为7天——这样用户哪怕选了「记住我」，每周也得重新登录一次，避免Cookie长期留在公共设备上。

内容的提问来源于stack exchange，提问作者lonix