ASP.NET Core与旧版FormsAuthentication跨应用登录方案咨询

手动生成兼容的FormsAuthentication Cookie #

FormsAuth的Cookie是基于指定machineKey加密的票据，你可以在ASP.NET Core中复刻这个加密逻辑：

• 从旧ASP.NET MVC 5项目的web.config中复制machineKey节点的validationKey、decryptionKey、validation、decryption配置，确保和旧应用完全一致
• 在Core项目中实现相同的加密流程：构造符合FormsAuthenticationTicket格式的用户信息，用匹配的算法加密，生成Base64格式的Cookie值
• 示例核心代码：

// 构造旧版票据结构
var ticket = new FormsAuthenticationTicket(
    version: 1,
    name: username,
    issueDate: DateTime.UtcNow,
    expiration: DateTime.UtcNow.AddHours(2),
    isPersistent: false,
    userData: "your-user-data",
    cookiePath: FormsAuthentication.FormsCookiePath);

// 使用旧machineKey参数加密（可自行实现MachineKey加密逻辑，避免引用System.Web）
var encryptedBytes = CustomMachineKeyProtect(Encoding.UTF8.GetBytes(ticket.ToString()), "FormsAuthentication");
var cookieValue = Convert.ToBase64String(encryptedBytes);

// 添加Cookie到响应，参数和旧应用保持一致
Response.Cookies.Append(".ASPXAUTH", cookieValue, new CookieOptions
{
    Domain = "your-shared-domain.com",
    Path = "/",
    HttpOnly = true,
    Secure = true
});

注：不要直接引用System.Web，可以参考.NET Framework的MachineKey实现自己写加密逻辑，或者用第三方兼容库。

旧应用开放登录接口中转 #

在旧应用里加一个内部可信的登录接口，由新版应用触发自动登录：

• 新版用户登录成功后，生成一个用双方约定密钥签名的用户信息令牌（比如JWT）
• 通过前端iframe或后台请求调用旧应用的登录接口，传递该令牌
• 旧应用验证令牌合法性后，直接调用FormsAuthentication.SetAuthCookie生成Cookie
• 这种方式避开加密细节，安全性靠签名密钥保障，适合跨域或复杂部署环境

共享身份票据存储 #

如果新旧应用能共用存储（如SQL Server、Redis），可以通过共享票据实现自动登录：

• 新版应用登录成功后，将用户身份存入共享存储，生成唯一票据ID
• 前端携带该ID访问旧应用，旧应用验证ID有效性后读取用户信息，生成FormsAuth Cookie
• 需注意处理票据过期和清理，避免无效数据堆积

关键注意事项 #

• 新旧应用必须共享域名、Cookie路径，否则Cookie无法跨应用识别
• machineKey的所有参数必须完全匹配，否则旧应用无法解密Cookie
• 根据部署环境设置Cookie的Secure、SameSite属性，保障传输安全
• 测试时用浏览器开发者工具检查Cookie是否正确生成，验证旧应用是否能自动识别登录状态

内容的提问来源于stack exchange，提问作者cooper_milton