ASP.NET遗留系统集成OAuth后重定向丢失用户认证状态求助

你的核心问题是手动创建Cookie、设置Context.User的方式不符合OWIN认证流程，导致重定向后OWIN中间件无法识别你生成的认证凭证，进而丢失认证状态。以下是具体原因和解决步骤：

关键原因 #

OWIN的Cookie认证依赖标准化的ClaimsIdentity和特定格式的加密Cookie，而你手动创建Cookie、直接赋值Context.User的操作，仅在当前请求上下文临时生效，并没有生成OWIN中间件能识别的持久化认证凭证。重定向后的新请求中，OWIN无法从Cookie中解析出有效身份，自然会重置Context.User并返回Request.IsAuthenticated=false。

解决步骤 #

1. 用OWIN原生方法生成认证Cookie #

替换你手动调用的CreateCookie方法，改用OWIN的AuthenticationManager.SignIn生成符合规范的认证Cookie：

// 在LoginExternal.aspx的Page_Load中获取loginInfo后执行
public void LogInOAuth(ExternalLoginInfo loginInfo)
{
    // 1. 通过邮箱获取用户ID（保留你的原有逻辑）
    string userId = GetUserIdByEmail(loginInfo.Email);

    // 2. 构建ClaimsIdentity（OWIN认证的核心载体）
    var claims = new List<Claim>
    {
        new Claim(ClaimTypes.NameIdentifier, userId),
        new Claim(ClaimTypes.Email, loginInfo.Email),
        // 可添加其他需要的用户信息Claim（如用户名、角色等）
    };

    // 注意：AuthenticationType必须和Startup中配置的CookieAuthenticationType完全一致
    var identity = new ClaimsIdentity(claims, CookieAuthenticationDefaults.AuthenticationType);

    // 3. 调用OWIN的SignIn方法生成持久化认证Cookie
    var authManager = Context.GetOwinContext().Authentication;
    authManager.SignIn(new AuthenticationProperties { IsPersistent = true }, identity);

    // 移除手动设置Context.User和Session["userID"]的代码
    // Context.User = new ClaimsPrincipal(identity); // 无需手动设置
    // Session["userID"] = userId; // 后续页面通过Claim获取即可
}

2. 检查Startup.cs的Cookie认证配置 #

确保Startup中的CookieAuthenticationOptions与SignIn时使用的AuthenticationType匹配，示例配置如下：

public void Configuration(IAppBuilder app)
{
    // 启用应用Cookie认证
    app.UseCookieAuthentication(new CookieAuthenticationOptions
    {
        AuthenticationType = CookieAuthenticationDefaults.AuthenticationType, // 默认值为"ApplicationCookie"
        LoginPath = new PathString("/Login.aspx"), // 未认证时跳转的登录页
        CookieName = ".AspNet.ApplicationCookie", // Cookie名称需与SignIn逻辑一致
        CookieHttpOnly = true, // 增强安全性，禁止前端JS读取Cookie
        ExpireTimeSpan = TimeSpan.FromDays(7), // Cookie有效期
        SlidingExpiration = true // 滑动过期，延长用户活跃时的有效期
    });

    // 启用外部登录临时Cookie（存储第三方登录后的临时凭证）
    app.UseExternalSignInCookie(DefaultAuthenticationTypes.ExternalCookie);

    // Facebook认证配置
    app.UseFacebookAuthentication(new FacebookAuthenticationOptions
    {
        AppId = "你的Facebook AppId",
        AppSecret = "你的Facebook AppSecret"
    });
}

3. 修正Session和Context.User的获取方式 #

后续页面（如Default.aspx）不要依赖手动设置的Session["userID"]，而是从OWIN解析的Context.User中获取身份信息：

// 在Default.aspx的Page_Load中
protected void Page_Load(object sender, EventArgs e)
{
    if (Request.IsAuthenticated)
    {
        // 从Claim中获取用户ID
        var userId = Context.User.FindFirst(ClaimTypes.NameIdentifier)?.Value;
        // 如需存入Session，再执行赋值
        Session["userID"] = userId;
    }
    else
    {
        // 未认证，跳转登录页
        Response.Redirect("Login.aspx");
    }
}

4. 检查web.config配置 #

确保web.config中的认证授权配置与OWIN兼容：

<!-- 禁用传统Forms认证，完全使用OWIN处理认证 -->
<authentication mode="None" />

<!-- 配置授权规则，允许匿名访问登录相关页面 -->
<authorization>
    <allow users="?" path="Login.aspx"/>
    <allow users="?" path="LoginExternal.aspx"/>
    <!-- 其他页面需认证访问 -->
    <deny users="?"/>
</authorization>

5. 验证Cookie有效性 #

用浏览器开发者工具（F12）查看请求：

• 重定向到Default.aspx时，检查Request Headers中是否包含.AspNet.ApplicationCookie
• 确认Cookie的Path为/（或你的应用根路径），Domain正确，未被浏览器拦截

额外说明 #

你最初尝试的<authentication mode="Forms">方案冲突，是因为传统Forms认证与OWIN认证的Cookie机制不兼容，两者会互相干扰，所以必须设置mode="None"完全依赖OWIN处理认证。

内容的提问来源于stack exchange，提问作者Alessandro