ASP.NET MVC表单认证在Windows Server 2022下Safari丢失Cookie问题

这个问题核心是Safari对Cookie的安全属性校验比Chrome更严格，而Windows Server 2022的默认配置与2016存在差异，导致Forms Auth Cookie不符合Safari的要求。以下是针对性的解决方案：

1. 手动设置Cookie的SameSite与Secure属性 #

修改你的登录代码，显式配置Cookie的SameSite和Secure属性（SameSite=None必须配合Secure，且仅在HTTPS环境下生效）：

else
{
    cookie.Value = FormsAuthentication.Encrypt(newTicket);
    
    // 根据请求环境设置SameSite和Secure
    if (HttpContext.Request.IsSecureConnection)
    {
        cookie.SameSite = SameSiteMode.None;
        cookie.Secure = true;
    }
    else
    {
        // 非HTTPS环境下使用Lax模式适配Safari
        cookie.SameSite = SameSiteMode.Lax;
    }
    
    // 可选：明确设置Cookie的域名和路径，避免范围匹配问题
    cookie.Domain = ".yourdomain.com"; // 替换为你的根域名（包含子域名时用此格式）
    cookie.Path = "/";
    
    HttpContext.Response.Cookies.Add(cookie);
}

2. 调整web.config中的Forms Authentication配置 #

在web.config的<authentication>节点中，强制指定Cookie的安全属性：

<authentication mode="Forms">
    <forms loginUrl="~/Account/Login" 
           name=".ASPXAUTH" 
           timeout="2880"
           requireSSL="true" <!-- HTTPS环境必须开启 -->
           domain=".yourdomain.com"
           path="/"
           sameSite="None" /> <!-- 非HTTPS环境可改为Lax -->
</authentication>

注意：若设置sameSite="None"，必须确保requireSSL="true"，否则Safari会直接拒绝该Cookie。

3. 检查IIS全局响应头配置 #

Windows Server 2022的IIS可能默认添加了全局Cookie属性设置，导致冲突：

1. 打开IIS管理器，定位到你的站点
2. 进入「HTTP响应头」模块
3. 检查是否存在针对Cookie的全局规则，如有则调整或移除，避免覆盖你手动设置的属性

4. 验证Cookie的实际状态 #

使用Safari开发者工具（Option+Command+I）：

1. 切换到「存储」标签，查看Cookie是否被正确保存
2. 切换到「网络」标签，检查登录响应的Set-Cookie字段，确认包含SameSite=None; Secure（HTTPS环境）或符合要求的SameSite值

内容的提问来源于stack exchange，提问作者Mohsin Sharif