为何IServiceCollection无JWT Cookie认证方法？Asp.Net Core如何配置从Cookie取JWT

一、具体实现方式 #

Asp.Net Core有两种标准方式实现从Cookie提取JWT，不需要复杂的自定义逻辑：

1. 扩展JwtBearer的令牌检索逻辑 #

直接在AddJwtBearer配置中自定义TokenRetriever，优先从指定Cookie提取令牌，再 fallback到默认的Authorization Header逻辑：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        // 常规JWT验证配置
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidIssuer = Configuration["Jwt:Issuer"],
            ValidateAudience = true,
            ValidAudience = Configuration["Jwt:Audience"],
            ValidateIssuerSigningKey = true,
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["Jwt:SecretKey"]))
        };

        // 自定义令牌提取逻辑
        options.TokenRetriever = request =>
        {
            // 从目标Cookie中获取JWT
            var cookieToken = request.Cookies["YourJwtCookieName"];
            if (!string.IsNullOrEmpty(cookieToken))
                return cookieToken;

            // 如果Cookie中没有，就用默认的Header提取方式
            return TokenRetrieval.FromAuthorizationHeader()(request);
        };
    });

2. 自定义中间件注入Authorization Header #

如果需要更灵活的预处理逻辑（比如令牌校验、多来源优先级判断），可以写一个轻量中间件，把Cookie中的JWT注入到Authorization Header中，让JwtBearer中间件直接处理：

// 中间件实现
public class JwtFromCookieMiddleware
{
    private readonly RequestDelegate _next;
    private const string TargetCookieName = "YourJwtCookieName";

    public JwtFromCookieMiddleware(RequestDelegate next)
    {
        _next = next;
    }

    public async Task InvokeAsync(HttpContext context)
    {
        if (context.Request.Cookies.TryGetValue(TargetCookieName, out var jwtToken))
        {
            context.Request.Headers.Append("Authorization", $"Bearer {jwtToken}");
        }

        await _next(context);
    }
}

// 扩展方法简化注册
public static class JwtFromCookieMiddlewareExtensions
{
    public static IApplicationBuilder UseJwtFromCookie(this IApplicationBuilder builder)
    {
        return builder.UseMiddleware<JwtFromCookieMiddleware>();
    }
}

// 在Program.cs中注册（注意要放在UseAuthentication之前）
app.UseJwtFromCookie();
app.UseAuthentication();
app.UseAuthorization();

二、为什么没有内置的JWT Cookie认证方法？ #

Asp.Net Core的认证体系是模块化设计的：

• AddJwtBearer专注于Bearer令牌的验证逻辑，默认从Authorization Header取令牌是OAuth2.0的标准约定；
• AddCookie则专注于传统Cookie身份认证，基于会话或加密票据，和JWT的无状态特性设计目标不同。

官方没有把JWT和Cookie直接绑定成内置方法，是为了保持灵活性——开发者可以根据场景组合不同的令牌存储载体（Cookie、Header、甚至Query参数）和验证逻辑，避免被单一方案限制。

三、是否必须用自定义中间件？这种方式是权宜之计吗？ #

• 不是必须用自定义中间件，前面的TokenRetriever方案就是JwtBearer组件原生支持的扩展点，是官方认可的标准做法，比中间件更轻量。
• 不管是TokenRetriever还是自定义中间件，都不属于权宜之计：
  • TokenRetriever是JwtBearerOptions专门预留的扩展接口，用于覆盖默认的令牌提取逻辑，完全符合框架设计规范；
  • 自定义中间件是Asp.Net Core请求管道扩展的常规手段，适合需要复杂预处理逻辑的场景。

另外提醒：用HttpOnly Cookie存储JWT时，一定要配合AntiForgeryToken防护CSRF攻击，比如在表单提交或AJAX请求中携带验证令牌。

内容的提问来源于stack exchange，提问作者IEnjoyEatingVegetables