ASP.NET Core MVC与API分离时用户登录状态判断及架构疑问

问题根源 #

你遇到的核心问题是MVC和API是两个独立的应用实例，它们的认证会话默认完全隔离——哪怕共用同一个DbContext和Identity组件，两边的Cookie认证体系也是各自独立的，所以MVC的SignInManager.IsSignedIn(User)无法识别API端的登录状态。

可行解决方案 #

方案一：共享认证Cookie（适合同域名部署场景） #

让MVC和API使用完全一致的认证Cookie配置，通过共享数据保护密钥实现跨应用的Cookie识别：

1. 统一API端的Cookie配置
   在API的Program.cs中调整Identity的Cookie设置，指定共享的Cookie名称、域名和数据保护密钥存储路径：

builder.Services.AddDefaultIdentity<IdentityUser>(options => options.SignIn.RequireConfirmedAccount = true)
    .AddEntityFrameworkStores<ApplicationDbContext>();

builder.Services.ConfigureApplicationCookie(options =>
{
    // 统一Cookie名称
    options.Cookie.Name = ".AspNetCore.Identity.Application";
    // 同域名下共享（跨子域名部署时设置主域名）
    options.Cookie.Domain = "yourdomain.com";
    options.Cookie.Path = "/";
    options.Cookie.HttpOnly = true;
    options.Cookie.SameSite = SameSiteMode.Lax;
    // 生产环境必须启用HTTPS
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
    // 共享数据保护密钥：两个项目指向同一个本地目录或密钥管理服务
    options.DataProtectionProvider = DataProtectionProvider.Create(new DirectoryInfo(@"D:\SharedAuthKeys"));
});

2. 同步MVC端的配置
   在MVC的Program.cs中复制完全相同的Cookie配置，确保数据保护密钥路径和API端一致，这样MVC就能识别API生成的登录Cookie，SignInManager.IsSignedIn(User)即可正常工作。

方案二：通过API接口验证登录状态（适合跨域名或不愿共享Cookie的场景） #

如果不能共享Cookie，可以让MVC主动调用API的授权接口判断用户状态：

1. API端新增用户信息接口
   添加一个需要授权的接口，用于验证当前请求是否来自已登录用户：

[ApiController]
[Route("api/auth")]
[Authorize]
public class AuthController : ControllerBase
{
    [HttpGet("userinfo")]
    public IActionResult GetUserInfo()
    {
        return Ok(new { Username = User.Identity.Name });
    }
}

2. MVC端实现认证状态查询服务
   创建一个服务，通过HttpClient调用API的用户信息接口，根据返回状态判断是否登录：

public class ApiAuthChecker
{
    private readonly HttpClient _apiClient;
    private readonly IHttpContextAccessor _httpContextAccessor;

    public ApiAuthChecker(HttpClient apiClient, IHttpContextAccessor httpContextAccessor)
    {
        _apiClient = apiClient;
        _httpContextAccessor = httpContextAccessor;
    }

    public async Task<bool> IsAuthenticated()
    {
        // 获取API登录后生成的Cookie
        var authCookie = _httpContextAccessor.HttpContext.Request.Cookies[".AspNetCore.Identity.Application"];
        if (string.IsNullOrEmpty(authCookie))
            return false;

        // 携带Cookie调用API接口
        _apiClient.DefaultRequestHeaders.Add("Cookie", $".AspNetCore.Identity.Application={authCookie}");
        var response = await _apiClient.GetAsync("/api/auth/userinfo");
        
        return response.IsSuccessStatusCode;
    }
}

3. 注册服务并在视图中使用
   在MVC的Program.cs中注册服务：

builder.Services.AddHttpClient<ApiAuthChecker>(client =>
{
    client.BaseAddress = new Uri("https://your-api-domain.com/");
});
builder.Services.AddHttpContextAccessor();

在_Layout.cshtml中注入服务并判断状态：

@inject ApiAuthChecker AuthChecker

@if (await AuthChecker.IsAuthenticated())
{
    <nav>
        <a asp-action="Dashboard">仪表盘</a>
        <a asp-action="Logout">退出登录</a>
    </nav>
}
else
{
    <nav>
        <a asp-action="Login">登录</a>
        <a asp-action="Register">注册</a>
    </nav>
}

提示：如果API使用JWT认证，可将JWT保存到MVC的Cookie中，调用API时在请求头携带Authorization: Bearer {token}，通过验证Token有效性判断登录状态。

架构选择建议 #

• 保持独立架构：如果你的API需要被多个客户端（比如移动端、其他Web应用）调用，业务逻辑和前端展示分离明确，建议用上述方案解决认证同步问题，保留独立架构。
• 集成API到MVC：如果业务逻辑简单，且只有MVC一个客户端，直接将API控制器集成到MVC项目中是更简单的选择——这样认证体系完全统一，无需处理跨应用的会话问题，数据库配置也只需一次，维护成本更低。

内容的提问来源于stack exchange，提问作者muttBunch