Blazor WebAssembly PWA发布后登出未清除Identity Cookie问题

为什么仅发布环境出现登出Cookie未清除的问题？ #

1. Identity Cookie配置优先级高于全局策略
   你添加的全局CookiePolicyOptions不会自动覆盖ASP.NET Core Identity的专属Cookie配置。Visual Studio调试时，Identity会自动适配调试环境的HTTP场景，默认放松Secure属性要求；但发布后，Identity的Application Cookie会默认启用Secure=true（即使部署在HTTP环境），导致全局的Secure=None设置不生效。

2. Cookie清除的属性匹配规则限制
   浏览器执行Cookie清除操作时，要求清除指令的属性（Secure、SameSite、Path等）必须与现有Cookie完全匹配。发布环境中，Identity生成的AspNetCore.Identity.Application Cookie带有Secure=true标记，但登出时你的清除指令因全局配置使用Secure=None，属性不匹配，浏览器就会忽略清除请求。

解决步骤 #

1. 显式配置Identity的Application Cookie #

在ConfigureServices中，专门针对Identity的Cookie设置SecurePolicy，确保和HTTP环境兼容：

services.AddDefaultIdentity<IdentityUser>(options => options.SignIn.RequireConfirmedAccount = true)
    .AddEntityFrameworkStores<ApplicationDbContext>()
    .AddDefaultTokenProviders();

// 覆盖Identity的Cookie配置
services.ConfigureApplicationCookie(options =>
{
    options.Cookie.SecurePolicy = CookieSecurePolicy.None; // 适配HTTP环境
    options.Cookie.SameSite = SameSiteMode.Lax;
    options.Cookie.Path = "/"; // 确保Cookie路径与清除指令一致
    // 其他可选配置，根据业务需求调整
    options.ExpireTimeSpan = TimeSpan.FromMinutes(30);
    options.LoginPath = "/login";
    options.LogoutPath = "/logout";
});

2. 确认中间件顺序正确 #

UseCookiePolicy必须在认证、授权中间件之前注册，保证全局策略先生效：

app.UseCookiePolicy(new CookiePolicyOptions 
{ 
    MinimumSameSitePolicy = SameSiteMode.Lax, 
    Secure = CookieSecurePolicy.None 
});

app.UseAuthentication();
app.UseAuthorization();

验证方法 #

发布后打开浏览器开发者工具（F12），切换到Application标签的Cookies面板：

• 登录后检查AspNetCore.Identity.Application，确认Secure列无勾选（HTTP环境下不会显示Secure标记）。
• 执行登出操作后，刷新面板，确认该Cookie已被移除。

内容的提问来源于stack exchange，提问作者Trystan Lapinig-Wilcock