如何在.NET Core 7中修改Antiforgery Cookie路径

问题原因 #

直接设置options.Cookie.Path = "/"未生效，通常是因为：

• 应用配置了PathBase（比如通过app.UsePathBase("/xxx")），Antiforgery中间件会自动将Cookie路径覆盖为该PathBase值
• 未正确配置CookieBuilder的完整属性，导致单独设置Path被默认逻辑覆盖

有效解决方案 #

方案1：强制配置CookieBuilder的路径属性 #

替换原有的配置代码，直接实例化CookieBuilder并明确设置路径，同时保留必要的Cookie安全属性：

builder.Services.AddAntiforgery(options =>
{
    options.Cookie = new CookieBuilder
    {
        Path = "/",
        HttpOnly = true,  // 保持默认的HttpOnly安全设置
        SameSite = SameSiteMode.Lax,  // 保持默认的SameSite策略
        SecurePolicy = CookieSecurePolicy.SameAsRequest  // 根据请求协议自动设置Secure属性
    };
});

方案2：调整中间件执行顺序（若应用依赖PathBase） #

如果你的应用确实需要使用PathBase但希望Antiforgery Cookie路径为根路径，可将UseAntiforgery()放在UsePathBase()之前执行，避免PathBase覆盖Cookie路径配置：

// 先配置Antiforgery中间件
app.UseAntiforgery();

// 再设置PathBase
app.UsePathBase("/your-path-base");

// 其他中间件
app.UseRouting();
app.UseAuthorization();
// ...

方案3：清理冲突配置 #

• 检查launchSettings.json中的applicationUrl，确保没有包含子路径，改为根路径格式（如https://localhost:5001/）
• 检查反向代理（如Nginx、IIS）配置，确认没有将请求路径重写为子路径导致PathBase被自动设置

验证方法 #

配置完成后启动应用，通过浏览器开发者工具（F12）查看Cookie列表，找到Antiforgery对应的Cookie（默认名为.AspNetCore.Antiforgery.xxx），检查其Path属性是否为/。

内容的提问来源于stack exchange，提问作者jstuardo