ASP.NET Cookie与JWT混合认证：令牌交换端点安全性咨询

本应用通过外部登录提供商完成用户认证，生成标准ASP.NET Identity Cookie用于授权所有非API端点；API端点采用JWT Bearer认证以防范CSRF（配置如下）。现咨询：API客户端（Blazor）使用身份认证Cookie换取JWT的实现是否存在安全问题？

令牌交换端点代码 #

/// <summary>
/// Returns a JWT for the cookie-authorized user
/// </summary>
/// <returns></returns>
[Authorize]
[HttpGet("token")]
public IResult Token()
{
    var user = HttpContext.User;

    var jwt = new JwtSecurityToken(
        issuer: appSettings.JwtConfig.Issuer,
        audience: appSettings.JwtConfig.Audience,
        notBefore: DateTime.Now,
        claims: user.Claims,
        expires: DateTime.Now.Add(TimeSpan.FromMinutes(15)),
        signingCredentials: new SigningCredentials(jwtKey, SecurityAlgorithms.HmacSha256));

    return Results.Json(new
    {
        token = new JwtSecurityTokenHandler().WriteToken(jwt),
        expires = jwt.ValidTo
    });
}

认证配置代码 #

const string CustomAuthScheme = "hybrid";

builder.Services.AddAuthentication(options =>
    {
        options.DefaultScheme = CustomAuthScheme;
        options.DefaultChallengeScheme = CustomAuthScheme;
    })
    .AddGoogle(options =>
    {
        ...
    })
    .AddMicrosoftAccount(options =>
    {
        ...
    })
    .AddApple(options =>
    {
        ...
    })
    .AddJwtBearer(options =>
    {
        ...
    })
    .AddPolicyScheme(CustomAuthScheme, CustomAuthScheme, options =>
    {
        options.ForwardDefaultSelector = ctx =>
        {
            // make API requests require a JWT, everything else a Cookie
            if (ctx.Request.Path.StartsWithSegments("/api"))
                return JwtBearerDefaults.AuthenticationScheme;

            return IdentityConstants.ApplicationScheme;
        };
    });

这种Cookie换JWT的实现思路可行，但存在几个需要修复的安全隐患：

潜在风险点 #

• CSRF攻击漏洞：令牌交换用的是GET请求，且依赖Cookie认证。用户登录后若访问恶意网站，对方可构造跨域GET请求自动携带用户的认证Cookie，从而窃取JWT。浏览器同源策略无法阻止这类跨域GET请求，除非配置严格的CORS规则。
• Claims过度暴露：直接将HttpContext.User.Claims全部写入JWT，可能包含身份提供商的内部标识、用户隐私字段等敏感或冗余信息，增大了令牌泄露后的风险面。
• 缺乏令牌刷新机制：当前JWT有效期仅15分钟，过期后客户端需重新走登录流程换Cookie再换JWT，不仅体验差，还增加了重复认证的安全交互成本。

优化建议 #

• 改用POST请求并验证CSRF令牌：把令牌交换端点改成HttpPost，添加[ValidateAntiForgeryToken]属性，强制验证CSRF令牌，从请求类型和令牌验证两层阻止CSRF攻击。
• 精简JWT中的Claims：只保留API业务必需的Claims（比如用户ID、角色、权限等），过滤掉不必要的敏感信息。
• 实现刷新令牌机制：生成JWT的同时返回一个有效期更长的刷新令牌，将刷新令牌存储在HttpOnly、Secure、SameSite=Strict的Cookie中。当JWT过期时，客户端用刷新令牌（携带Cookie）换取新JWT，无需重新登录。
• 配置严格的CORS策略：限制令牌交换端点仅允许你的Blazor客户端域名访问，拒绝其他跨域请求。
• 强化Cookie安全性：确保ASP.NET Identity Cookie配置了HttpOnly、Secure、SameSite=Strict属性，降低Cookie被窃取或滥用的风险。

内容的提问来源于stack exchange，提问作者Oliver Weichhold