.NET Core Cookie认证：不同用户类型的路径控制方案咨询

一、合并单Cookie后，动态配置登录/登出/拒绝路径 #

如果你选择合并为单Cookie并通过角色/声明区分用户，可以通过自定义CookieAuthenticationEvents拦截重定向逻辑，根据当前请求的授权要求或用户角色动态指定跳转路径，避免错误重定向。

核心实现代码 #

using Microsoft.AspNetCore.Authentication.Cookies;
using Microsoft.AspNetCore.Mvc.Authorization;

// 注册认证服务
services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        // 不设置固定路径，交由事件处理动态跳转
        options.Events = new CookieAuthenticationEvents
        {
            // 处理登录重定向
            OnRedirectToLogin = context =>
            {
                // 获取当前端点的授权元数据
                var authorizeAttr = context.HttpContext.GetEndpoint()?.Metadata.GetMetadata<AuthorizeAttribute>();
                string loginPath = "/Account/Login"; // 默认普通用户登录页

                // 根据策略或角色判断跳转路径
                if (authorizeAttr != null)
                {
                    if (!string.IsNullOrEmpty(authorizeAttr.Policy) && authorizeAttr.Policy == "admin")
                    {
                        loginPath = "/Admin/Login";
                    }
                    else if (!string.IsNullOrEmpty(authorizeAttr.Roles) && authorizeAttr.Roles.Contains("Admin"))
                    {
                        loginPath = "/Admin/Login";
                    }
                }

                context.Response.Redirect(loginPath);
                return Task.CompletedTask;
            },
            // 处理登出重定向
            OnRedirectToLogout = context =>
            {
                // 根据当前用户角色判断登出路径
                string logoutPath = context.HttpContext.User.IsInRole("Admin") 
                    ? "/Admin/Logout" 
                    : "/Account/Logout";
                
                context.Response.Redirect(logoutPath);
                return Task.CompletedTask;
            },
            // 处理权限拒绝重定向
            OnRedirectToAccessDenied = context =>
            {
                string accessDeniedPath = context.HttpContext.User.IsInRole("Admin") 
                    ? "/Admin/AccessDenied" 
                    : "/Account/AccessDenied";
                
                context.Response.Redirect(accessDeniedPath);
                return Task.CompletedTask;
            }
        };
    });

关键说明 #

• 通过GetEndpoint()获取当前请求的授权元数据，判断是否是管理员策略/角色要求，动态切换登录页。
• 登出和权限拒绝页面直接根据当前用户的角色声明判断，无需依赖请求元数据。

二、多Cookie旧站点的升级适配方案 #

针对你的场景，有两种主流适配方案，可根据迁移节奏选择：

方案1：保留多Cookie，配置多认证方案 #

.NET Core支持同时注册多个Cookie认证方案，完全适配旧站点的双Cookie逻辑，无需大幅修改原有登录登出流程。

配置代码

services.AddAuthentication()
    // 普通用户认证方案（匹配旧站点用户Cookie）
    .AddCookie("UserScheme", options =>
    {
        options.Cookie.Name = "OldUserCookie"; // 与旧站点普通用户Cookie名称一致
        options.LoginPath = "/Account/Login";
        options.LogoutPath = "/Account/Logout";
        options.AccessDeniedPath = "/Account/AccessDenied";
        // 补充Cookie过期时间、SameSite等配置，完全对齐旧站点
    })
    // 管理员认证方案（匹配旧站点管理员Cookie）
    .AddCookie("AdminScheme", options =>
    {
        options.Cookie.Name = "OldAdminCookie"; // 与旧站点管理员Cookie名称一致
        options.LoginPath = "/Admin/Login";
        options.LogoutPath = "/Admin/Logout";
        options.AccessDeniedPath = "/Admin/AccessDenied";
    });

页面授权使用

// 普通用户页面
[Authorize(AuthenticationSchemes = "UserScheme")]
public IActionResult UserHome() 
{
    // 业务逻辑
}

// 管理员页面
[Authorize(AuthenticationSchemes = "AdminScheme")]
public IActionResult AdminHome() 
{
    // 业务逻辑
}

兼容旧Cookie加密

如果需要直接识别旧.NET Framework生成的Cookie，需配置DataProtection兼容旧加密规则：

services.AddDataProtection()
    .PersistKeysToFileSystem(new DirectoryInfo(@"C:\YourOldAppKeyDir")) // 与旧站点共享密钥目录
    .SetApplicationName("YourOldAppName") // 与旧站点应用名称一致
    .AddCryptographicAlgorithms(new AuthenticatedEncryptionOptions
    {
        EncryptionAlgorithm = EncryptionAlgorithm.AES_256_CBC,
        ValidationAlgorithm = ValidationAlgorithm.HMACSHA256
    });

方案2：合并为单Cookie，迁移旧Cookie用户 #

适合长期维护，减少Cookie管理复杂度，但需处理旧Cookie的迁移逻辑：

1. 旧Cookie迁移中间件：检测用户浏览器中的旧Cookie，验证后生成新的单Cookie并清除旧Cookie

app.Use(async (context, next) =>
{
    if (!context.User.Identity.IsAuthenticated)
    {
        // 处理普通用户旧Cookie
        if (context.Request.Cookies.TryGetValue("OldUserCookie", out var oldUserCookie))
        {
            var user = ValidateOldUserCookie(oldUserCookie); // 复用旧站点的Cookie验证逻辑
            if (user != null)
            {
                var claims = new List<Claim>
                {
                    new Claim(ClaimTypes.NameIdentifier, user.Id.ToString()),
                    new Claim(ClaimTypes.Name, user.Username),
                    new Claim(ClaimTypes.Role, "User")
                };
                var identity = new ClaimsIdentity(claims, CookieAuthenticationDefaults.AuthenticationScheme);
                await context.SignInAsync(CookieAuthenticationDefaults.AuthenticationScheme, new ClaimsPrincipal(identity));
                context.Response.Cookies.Delete("OldUserCookie");
            }
        }
        // 处理管理员旧Cookie
        else if (context.Request.Cookies.TryGetValue("OldAdminCookie", out var oldAdminCookie))
        {
            var admin = ValidateOldAdminCookie(oldAdminCookie); // 复用旧站点的Cookie验证逻辑
            if (admin != null)
            {
                var claims = new List<Claim>
                {
                    new Claim(ClaimTypes.NameIdentifier, admin.Id.ToString()),
                    new Claim(ClaimTypes.Name, admin.Username),
                    new Claim(ClaimTypes.Role, "Admin")
                };
                var identity = new ClaimsIdentity(claims, CookieAuthenticationDefaults.AuthenticationScheme);
                await context.SignInAsync(CookieAuthenticationDefaults.AuthenticationScheme, new ClaimsPrincipal(identity));
                context.Response.Cookies.Delete("OldAdminCookie");
            }
        }
    }
    await next();
});

2. 统一登录逻辑：新登录流程生成包含角色声明的单Cookie，替换原有双Cookie逻辑。

方案选择建议 #

• 渐进式迁移选方案1：风险低，无需修改原有登录登出页面，可逐步替换为新逻辑。
• 长期维护选方案2：简化Cookie管理，减少前端适配成本，但需要额外处理旧Cookie迁移。

内容的提问来源于stack exchange，提问作者bdcoder