多子域部署下Cookie已存在但conf.example.com站点HttpContext.User无Claims的技术问题

看起来你碰到了一个挺头疼的问题——本地环境三个子域站点都能正常共享认证Cookie，但到了线上，conf.example.com就是读不到HttpContext.User里的Claims。结合你给出的配置和现象，我来帮你梳理几个最可能的排查方向：

1. 先确认线上的Cookie Domain配置是否准确 #

你在AddCookie里设置了options.Cookie.Domain = builder.Configuration["DomainName"]，这里要重点检查线上环境的DomainName配置值：

• 必须是根域格式，也就是.example.com（注意开头的点），这样所有子域才能共享这个Cookie。如果线上配置写成了login.example.com或者example.com（没带开头的点），那conf.example.com就无法读取这个Cookie。
• 可以在conf.example.com的启动代码里临时输出这个配置值，比如在builder.Build()之前加一行Console.WriteLine(builder.Configuration["DomainName"])，确认线上的配置是不是符合要求。

2. 检查DataProtection密钥的跨站点同步情况 #

虽然你用了Redis来持久化DataProtection密钥，但线上环境可能存在密钥同步失败的问题：

• 首先确认三个站点是不是连接的同一个Redis实例，连接字符串有没有写错，站点有没有Redis的读写权限。如果conf.example.com无法从Redis读取共享密钥，它会自动生成本地密钥，这样就无法解密login.example.com加密的Cookie，自然读不到Claims。
• 检查SetApplicationName("example.app")的取值，三个站点必须完全一致（包括大小写、特殊字符），这个值是DataProtection分组密钥的依据，不一致的话也会导致密钥不共享。
• 可以查看线上站点的日志，有没有DataProtection相关的错误，比如密钥加载失败、Redis连接超时等。

3. 排查HTTPS环境下的Cookie Secure属性问题 #

线上是HTTPS环境，而本地可能用的是HTTP，这里容易踩坑：

• 你的配置里设置了SameSiteMode.None，但浏览器要求SameSite=None的Cookie必须带有Secure属性（只能在HTTPS下传输）。虽然ASP.NET Core会自动在HTTPS环境下设置Secure，但如果线上有反向代理（比如Nginx、IIS），没有正确传递X-Forwarded-Proto头，ASP.NET Core会误以为当前是HTTP环境，就不会设置Secure属性，导致浏览器在conf.example.com的HTTPS请求里不发送Cookie。
• 解决办法：
  1. 在反向代理配置中添加传递X-Forwarded-Proto头的规则；
  2. 在Program.cs里配置ForwardedHeaders，让ASP.NET Core识别真实的请求协议：

     builder.Services.Configure<ForwardedHeadersOptions>(options =>
     {
         options.ForwardedHeaders = ForwardedHeaders.XForwardedProto;
     });
     

  3. 在app.UseHttpsRedirection()之前添加app.UseForwardedHeaders();；
  4. 也可以手动强制设置Secure属性，避免环境识别错误：

     options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
     

4. 用浏览器开发者工具验证Cookie状态 #

直接在conf.example.com页面打开浏览器的开发者工具（比如Chrome的Application标签），查看Cookies列表：

• 确认.asp.cookie是否存在，Domain是不是.example.com，Secure是否为true，SameSite是否为None；
• 如果Cookie不存在：说明浏览器没发送，问题在Domain、Secure、SameSite的配置；
• 如果Cookie存在，但服务器读不到Claims：说明Cookie已经到达服务器，但无法解密，问题在DataProtection密钥同步。

5. 快速验证Cookie是否到达服务器 #

在conf.example.com的控制器里加一行代码，先确认Cookie有没有被发送到服务器：

var hasCookie = HttpContext.Request.Cookies.ContainsKey(".asp.cookie");
// 可以把这个值输出到日志或者页面上

如果hasCookie是false，就聚焦在Cookie的发送环节（Domain、Secure、SameSite）；如果是true，就聚焦在DataProtection的密钥解密环节。

内容的提问来源于stack exchange，提问作者a.tolba