ASP.NET Core 7 MVC真实主机部署后Cookie有效期异常求助

针对本地调试、本地Windows IIS发布环境正常，但部署至真实主机后Cookie仅5分钟失效的问题，可从以下方向排查修复：

1. 检查主机环境的会话超时配置 #

• 真实主机的IIS应用程序池可能设置了空闲超时，若5分钟内无请求就会回收应用池，导致会话失效。需联系主机商调整应用池空闲超时至24小时以上，或自行在IIS管理器中修改该参数。
• 同时检查IIS站点的会话状态超时设置，确保其时长不小于代码中配置的24小时。

2. 配置数据保护密钥持久化 #

ASP.NET Core的数据保护密钥默认存储在内存中，应用重启后会生成新密钥，导致之前加密的Cookie失效（表现为提前超时）。需将密钥持久化到稳定存储：

builder.Services.AddDataProtection()
    .PersistKeysToFileSystem(new DirectoryInfo(@"C:\YourSecureKeyDirectory")) // 替换为主机上有读写权限的目录
    .SetDefaultKeyLifetime(TimeSpan.FromDays(90));

确保主机上的目标目录拥有应用程序进程的读写权限。

3. 补全Cookie的安全属性配置 #

真实主机通常使用HTTPS，需明确设置Cookie的Secure策略，避免浏览器因安全策略回收Cookie：
在ConfigureApplicationCookie中添加：

options.Cookie.SecurePolicy = CookieSecurePolicy.Always;

4. 排查负载均衡/反向代理配置 #

如果主机使用了负载均衡或反向代理：

• 确认开启会话亲和性（粘性会话），确保同一用户的请求始终分发到同一服务器实例。
• 若无法开启粘性会话，需让所有服务器实例共享同一数据保护密钥存储（参考第2点的持久化配置）。

5. 确认配置顺序正确性 #

确保ConfigureApplicationCookie的配置位于AddIdentity或AddAuthentication之后，避免被后续配置覆盖：

// 先添加身份认证服务
builder.Services.AddDefaultIdentity<IdentityUser>()
    .AddEntityFrameworkStores<ApplicationDbContext>();

// 再配置ApplicationCookie
builder.Services.ConfigureApplicationCookie(options =>
{
    options.AccessDeniedPath = "/Home/Index";
    options.Cookie.Name = "WebAppIdentityCookie";
    options.Cookie.HttpOnly = true;
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always; // 新增安全配置
    options.ExpireTimeSpan = TimeSpan.FromHours(24);
    options.LoginPath = "/Sign";
    options.SlidingExpiration = true;
});

内容的提问来源于stack exchange，提问作者sadegh