跨域场景下ASP.NET Web API双因素验证SignInManager验证失败问题

你的问题核心是跨域场景下，ASP.NET生成的TwoFactorUserId会话Cookie无法被Angular客户端携带到服务端，导致TwoFactorSignInAsync无法识别之前的登录会话，最终返回Succeeded=false。以下是具体修改步骤：

1. 配置CORS允许携带凭证 #

在Program.cs（或Startup.cs，根据.NET版本）中添加CORS策略，明确允许Angular客户端的跨域请求并开启凭证支持：

// .NET 6+ Program.cs
builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowAngularClient",
        policy =>
        {
            policy.WithOrigins("http://localhost:4200") // 替换为你的Angular客户端地址
                  .AllowAnyHeader()
                  .AllowAnyMethod()
                  .AllowCredentials(); // 关键：允许携带Cookie等凭证
        });
});

// 注意：CORS中间件必须放在Authentication之前
app.UseCors("AllowAngularClient");
app.UseAuthentication();
app.UseAuthorization();

2. 修改TwoFactorUserIdScheme的Cookie跨域配置 #

调整AddCookie的配置，让Cookie支持跨域场景下的传输：

services.AddAuthentication(o =>
{
    o.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
    o.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
    o.DefaultScheme = JwtBearerDefaults.AuthenticationScheme;
})
.AddCookie(IdentityConstants.TwoFactorUserIdScheme, o =>
{
    o.Cookie.Name = IdentityConstants.TwoFactorUserIdScheme;
    o.ExpireTimeSpan = TimeSpan.FromMinutes(10);
    // 跨域Cookie核心配置
    o.Cookie.SameSite = SameSiteMode.None; // 允许跨域发送Cookie
    o.Cookie.SecurePolicy = CookieSecurePolicy.None; // 本地HTTP测试用，生产环境改为CookieSecurePolicy.Always（仅HTTPS）
    o.Cookie.HttpOnly = true; // 防止XSS攻击，建议保留
    o.Cookie.Domain = "localhost"; // 本地测试用，生产环境替换为实际域名
});

3. 完善Login接口的会话创建逻辑 #

在验证用户名密码后，必须调用SignInAsync生成临时会话Cookie，否则服务端无法关联后续的2FA请求：
修改Login方法中2FA分支的代码：

if (user != null) {
    if (user.TwoFactorEnabled)
    {
        // 关键：创建临时登录会话，生成TwoFactorUserId Cookie
        await _signInManager.SignInAsync(user, isPersistent: false, rememberBrowser: false);
        
        var token = await _userManager.GenerateTwoFactorTokenAsync(user, TokenOptions.DefaultEmailProvider);
        await _emailManagerService.SendEmailAsync(user.Email!, string.Format("{0} {1}", user.LastName, user.FirstName), token);
        return StatusCode(StatusCodes.Status200OK,
            new TokenRequest { Is2FA = true });
    }
}

4. Angular客户端开启凭证携带 #

在Angular的HTTP请求中，必须设置withCredentials: true，确保浏览器发送服务端设置的Cookie：

// 调用Login接口
this.http.post('/api/Account/login', loginDto, { withCredentials: true }).subscribe(...);

// 调用VerifyTwoFactor接口
this.http.post('/api/Account/verifytwofactor', twoFactorDto, { withCredentials: true }).subscribe(...);

内容的提问来源于stack exchange，提问作者Varga Máté