.NET6+IIS环境下请求Cookie未带Secure标志问题排查求助

以下是几个可能的遗漏点和解决方向：

• 检查IIS站点SSL强制配置
  打开IIS管理器，找到目标站点的「SSL设置」，确认已勾选「要求SSL」选项。如果IIS没有强制HTTPS访问，浏览器可能会保留旧的非Secure Cookie，导致请求时发送的不是新生成的带Secure标志的Cookie。

• 清除浏览器缓存与旧Cookie
  浏览器可能缓存了未带Secure标志的旧Cookie，直接覆盖了新Cookie的请求行为。手动清除对应站点的所有Cookie后，重新发起HTTPS请求，验证新Cookie是否在请求中携带Secure标志。

• 验证中间件配置顺序
  在.NET6的Program.cs中，确保Cookie身份验证的配置和中间件顺序正确：

  • AddCookie要在AddAuthentication内部配置，作为指定的认证方案
  • UseAuthentication和UseAuthorization必须放在UseRouting之后、UseEndpoints之前
  • UseHttpsRedirection要放在最前面，确保HTTP请求自动重定向到HTTPS

  示例正确的代码结构：

  var builder = WebApplication.CreateBuilder(args);
  
  // 添加身份验证服务，配置Cookie选项
  builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
      .AddCookie(options =>
      {
          options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
          options.Cookie.HttpOnly = true;
          options.Cookie.SameSite = SameSiteMode.Strict;
      });
  
  var app = builder.Build();
  
  // 中间件顺序
  app.UseHttpsRedirection();
  app.UseStaticFiles();
  app.UseRouting();
  app.UseAuthentication(); // 必须在UseAuthorization之前
  app.UseAuthorization();
  
  app.MapControllers();
  app.Run();
  

• 处理反向代理/负载均衡场景
  如果你的IIS部署在反向代理（如NGINX、AWS ALB）之后，且SSL终止在代理层，.NET应用可能无法识别当前请求是HTTPS，导致Cookie的Secure标志逻辑失效。需要添加转发头配置：

  builder.Services.Configure<ForwardedHeadersOptions>(options =>
  {
      options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto;
      // 添加代理服务器的IP到信任列表，避免安全风险
      options.KnownProxies.Add(IPAddress.Parse("你的代理IP"));
  });
  

  同时在IIS中启用ARR代理模块，确保X-Forwarded-Proto头正确传递给后端应用。

• 区分ASP.NET Core与传统Forms认证配置
  web.config中的<httpCookies requireSSL="true" secure="true" />仅对传统ASP.NET的Forms身份验证Cookie生效，如果你使用的是ASP.NET Core的AddCookie认证方案，这个配置不会起作用，必须确保代码中的options.Cookie.SecurePolicy设置为CookieSecurePolicy.Always。

内容的提问来源于stack exchange，提问作者Yat Fei Leong