.NET 6与.NET 4.8跨版本分块Cookie登录认证异常问题

问题背景 #

我在使用ASP.NET Identity实现跨版本应用的身份验证，登录应用基于.NET 6，业务应用基于.NET 4.8。单Cookie场景下配置后运行正常，但当Claims过多导致Cookie体积超过4096字节、被ChunkingCookieManager拆分为多个时，.NET 6应用能正常识别登录状态，.NET 4.8应用却无法识别，会自动重定向到登录页。

当前配置细节：

• .NET 6 Startup.cs配置：

services.ConfigureApplicationCookie(options => 
{
    // 其他身份验证配置
    options.CookieManager = new ChunkingCookieManager();
    // 其他身份验证配置
});

• .NET 4.8 Startup.Auth.cs配置：

app.UseCookieAuthentication(new CookieAuthenticationOptions 
{
    // 其他身份验证配置
    CookieManager = new ChunkingCookieManager();
    // 其他身份验证配置
});

注：.NET 4.8的ChunkingCookieManager来自Microsoft.Owin.Infrastructure，.NET 6的来自Microsoft.AspNetCore.Authentication.Cookies。

解决方案 #

1. 严格统一跨应用Cookie核心配置 #

两个应用的Cookie参数必须完全一致，这是跨版本共享身份验证的基础：

• Cookie名称：将双方的CookieName设置为相同值（比如.SharedAuthCookie，避免.NET 6默认的.AspNetCore.Identity.Application和.NET 4.8默认的.AspNet.ApplicationCookie不一致）
• Cookie路径：统一设置为"/"，确保跨应用路径都能读取
• Cookie域：如果是同域下的多应用，设置为共同父域（比如.yourdomain.com）
• 安全策略：SecurePolicy/CookieSecure、HttpOnly、SameSite、ExpireTimeSpan等参数必须完全匹配

示例配置：
.NET 6补充配置：

services.ConfigureApplicationCookie(options => 
{
    options.Cookie.Name = ".SharedAuthCookie";
    options.Cookie.Path = "/";
    options.Cookie.Domain = ".yourdomain.com";
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
    options.Cookie.HttpOnly = true;
    options.Cookie.SameSite = SameSiteMode.Lax;
    options.CookieManager = new ChunkingCookieManager();
});

.NET 4.8补充配置：

app.UseCookieAuthentication(new CookieAuthenticationOptions 
{
    AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
    CookieName = ".SharedAuthCookie",
    CookiePath = "/",
    CookieDomain = ".yourdomain.com",
    CookieSecure = CookieSecureOption.Always,
    CookieHttpOnly = true,
    CookieSameSite = SameSiteMode.Lax,
    CookieManager = new ChunkingCookieManager()
});

2. 自定义OWIN CookieManager兼容分块逻辑 #

.NET Framework的ChunkingCookieManager与.NET Core的实现存在细微的分块命名、拼接逻辑差异，可通过自定义CookieManager手动兼容：

public class CompatibleChunkingCookieManager : ChunkingCookieManager
{
    public override string GetRequestCookie(IOwinContext context, string key)
    {
        // 先尝试默认逻辑读取
        var baseValue = base.GetRequestCookie(context, key);
        if (!string.IsNullOrEmpty(baseValue))
            return baseValue;

        // 手动拼接符合.NET Core规则的分块Cookie
        var chunkedValue = new StringBuilder();
        int chunkIndex = 1;
        while (true)
        {
            var chunkKey = $"{key}-{chunkIndex}";
            var chunkValue = context.Request.Cookies[chunkKey];
            if (string.IsNullOrEmpty(chunkValue))
                break;
            chunkedValue.Append(chunkValue);
            chunkIndex++;
        }
        return chunkedValue.Length > 0 ? chunkedValue.ToString() : null;
    }
}

在.NET 4.8项目中替换使用：

CookieManager = new CompatibleChunkingCookieManager()

3. 从根源减少Cookie体积 #

如果分块兼容性问题难以彻底解决，建议优化Claims以避免Cookie分块：

• 移除非必需Claims：仅保留NameIdentifier、Name等身份验证核心Claims，业务数据通过后端接口根据用户ID获取
• 压缩Claims内容：对长文本Claims进行Base64压缩或使用更紧凑的存储格式
• 改用Reference Tokens：通过IdentityServer等方案将Claims存储在服务器端，客户端仅持有短引用令牌，彻底规避Cookie体积限制

4. 更新OWIN中间件版本 #

确保.NET 4.8项目中的Microsoft.Owin、Microsoft.Owin.Security.Cookies等NuGet包更新到最新稳定版本，旧版本可能存在分块Cookie的兼容性BUG。

内容的提问来源于stack exchange，提问作者Philip Johnson