Asp.net Core+Angular项目Auth0认证：Firefox/Safari Cookie登录失败

我负责的Asp.net Core C#项目（前端为Angular）采用Auth0认证机制，在Chrome和Opera浏览器中可正常完成登录，但在Firefox和Safari浏览器中会卡在登录页面。关闭Firefox的增强跟踪保护、允许第三方Cookie后即可正常登录，推测问题根源在于Cookie配置。以下是Startup.cs文件相关代码：

ConfigureServices 代码片段 #

public void ConfigureServices(IServiceCollection services)
{
    // Other service configurations...
    services.AddCors(options =>
    {
        options.AddPolicy("AllowSpecificOrigin",
            builder =>
            {
                builder.WithOrigins("https://X.com", "https://staging.X.com", "http://localhost:4200")
                .AllowAnyHeader().AllowAnyMethod().AllowCredentials().SetIsOriginAllowed((host) => true);
            });
    });

    // Other service configurations...

    services.Configure<CookiePolicyOptions>(options =>
    {
        options.CheckConsentNeeded = context => true;
        options.MinimumSameSitePolicy = SameSiteMode.None;
        options.HttpOnly = Microsoft.AspNetCore.CookiePolicy.HttpOnlyPolicy.None;
        options.Secure = CookieSecurePolicy.None; // for development without HTTPS
        //options.Secure = CookieSecurePolicy.Always; // Set to Always in production
    });

    // Other service configurations...
}

Configure 代码片段 #

public void Configure(IApplicationBuilder app, IWebHostEnvironment env, ILoggerFactory loggerFactory, AppDbContext context)
{
    loggerFactory.AddAWSProvider(this.Configuration.GetAWSLoggingConfigSection());
    StripeConfiguration.ApiKey = Configuration.GetSection("Stripe")["SecretKey"];
    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
    }
    else
    {
        app.UseExceptionHandler("/Error");
        app.UseHsts();
    }
    app.UseHttpsRedirection();
    app.UseStaticFiles();
    app.UseCookiePolicy();
    app.UseHealthChecks();
    app.UsePathBase("/X-api");
    app.UseDefaultFiles();
    app.UseCors("AllowSpecificOrigin");
    app.UseForwardedHeaders(new ForwardedHeadersOptions
    {
        ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto
    });
    app.UseRouting();
    app.UseAuthentication();
    app.UseAuthorization();
    app.UseEndpoints(endpoint => { endpoint.MapControllers(); });
    app.UseMvc();
}

解决思路 #

• 修正SameSite与Secure Cookie绑定规则
  当设置SameSiteMode.None时，现代浏览器（包括Firefox/Safari）要求Cookie必须标记为Secure（仅HTTPS传输）。开发环境暂时可以保留CookieSecurePolicy.None，但生产环境必须切换为CookieSecurePolicy.Always，同时确保服务器配置HTTPS。

• 清理CORS策略冲突配置
  你的CORS策略已通过WithOrigins指定了可信域名，额外添加的SetIsOriginAllowed((host) => true)会允许任意来源，导致浏览器跨域Cookie验证逻辑异常。建议删除这行代码，保持CORS策略的严格性。

• 调整中间件执行顺序
  CORS中间件必须在路由和认证中间件之前执行。当前UseCors的位置不正确，正确顺序应为：

  app.UseHttpsRedirection()
  → app.UseStaticFiles()
  → app.UseCookiePolicy()
  → app.UseCors("AllowSpecificOrigin")
  → app.UsePathBase("/X-api")
  → app.UseDefaultFiles()
  → app.UseForwardedHeaders(...)
  → app.UseRouting()
  → app.UseAuthentication()
  → app.UseAuthorization()
  → app.UseEndpoints(...)
  

• 显式配置Auth0认证Cookie属性
  在添加Auth0认证中间件时，需明确指定Cookie的SameSite、Secure和HttpOnly属性，确保与全局Cookie策略一致：

  services.AddAuthentication(options =>
  {
      options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
      options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
  })
  .AddCookie(options =>
  {
      options.Cookie.SameSite = SameSiteMode.None;
      options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
      options.Cookie.HttpOnly = true; // 开启HttpOnly提升安全性，避免XSS攻击
  })
  .AddOpenIdConnect(options =>
  {
      options.Authority = "https://your-auth0-domain/";
      options.ClientId = "your-client-id";
      // 其他Auth0配置（如ClientSecret、CallbackPath等）
  });
  

• 适配Safari ITP限制
  Safari的智能跟踪防护（ITP）对第三方Cookie限制极严，建议改用Auth0的Authorization Code Flow with PKCE认证流程，该流程不依赖第三方Cookie，更符合现代浏览器隐私规范。

• 关闭不必要的Cookie同意检查
  当前CheckConsentNeeded = context => true会触发用户Cookie同意提示，可能干扰认证流程中的Cookie设置。若项目无需Cookie同意机制，直接设置为false即可。

内容的提问来源于stack exchange，提问作者Mozhgan Hatami