设置子域级身份验证Cookie后，如何清除该Cookie？

问题出在清除Cookie时未匹配子域属性：当你给身份验证Cookie指定了.example.com的子域后，默认调用SignOutAsync生成的清除指令没有携带相同的Domain参数，浏览器会判定这是两个不同的Cookie，因此不会删除原有的子域Cookie。

解决方法一：SignOut时显式指定Domain属性 #

调用SignOutAsync时，通过AuthenticationProperties传入子域信息，确保清除指令的Cookie属性与创建时完全一致：

var authProps = new AuthenticationProperties
{
    RedirectUri = "/Accounts/Login" // 可选，设置登出后跳转地址
};
// 传入子域配置
authProps.Items[".AspNetCore.Cookie.Domain"] = ".example.com";

await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme, authProps);

解决方法二：通过Cookie事件统一处理清除逻辑 #

在Cookie认证配置中，自定义OnSigningOut事件，手动构造与原Cookie属性完全匹配的删除指令：

builder.Services.AddAuthentication(options =>
{
    options.DefaultChallengeScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultSignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultAuthenticateScheme = CookieAuthenticationDefaults.AuthenticationScheme;
})
.AddCookie(options =>
{
    options.SlidingExpiration = false;
    options.LoginPath = "/Accounts/Login";
    options.LogoutPath = "/Accounts/Logout";
    options.AccessDeniedPath = new PathString("/Accounts/Forbidden/");
    options.Cookie.Name = "mycookie";
    options.Cookie.SecurePolicy = CookieSecurePolicy.SameAsRequest;
    options.Cookie.SameSite = SameSiteMode.Strict;
    options.Cookie.Domain = ".example.com"; // 子域配置

    options.Events = new CookieAuthenticationEvents
    {
        OnSigningOut = context =>
        {
            // 按原Cookie的属性构造删除指令
            context.Response.Cookies.Delete(
                options.Cookie.Name,
                new CookieOptions
                {
                    Domain = options.Cookie.Domain,
                    Path = options.Cookie.Path ?? "/",
                    Secure = options.Cookie.SecurePolicy != CookieSecurePolicy.None,
                    SameSite = options.Cookie.SameSite
                }
            );
            return Task.CompletedTask;
        }
    };
});

核心原理 #

浏览器匹配Cookie时会校验名称、域名、路径等核心属性，只有所有属性完全匹配的情况下，才会执行删除操作。因此清除Cookie时，必须保证这些属性与创建身份验证Cookie时的配置完全一致。

内容的提问来源于stack exchange，提问作者Davood