ASP.NET MVC跨站嵌入页面免重复登录：如何通过Cookie传凭证？

核心前提说明 #

首先要明确：浏览器的同源策略会限制跨域Cookie/请求头的传递，所以所有方案都需要目标服务器配合，或通过服务器端代理绕开浏览器限制。

一、服务器端代理方案（通用且最可靠） #

浏览器端直接请求目标服务器时，你在自己控制器加的Authorization头不会被带到目标服务器的请求里，这就是之前方案无效的原因。最稳妥的方式是让你的ASP.NET服务器作为中间层，先向目标服务器发起请求并携带凭证，再把页面内容返回给前端。

控制器实现代码 #

public async Task<ActionResult> ProxyTargetPage()
{
    // 从当前登录用户的身份信息中获取目标服务器的凭证（比如从Session、用户表或Claim中读取）
    var targetUsername = User.FindFirst("TargetServerUsername")?.Value;
    var targetPassword = GetEncryptedPasswordFromDb(targetUsername); // 从数据库读取加密后的密码并解密

    // 构建带身份验证的请求
    using var client = new HttpClient();
    var authBytes = Encoding.ASCII.GetBytes($"{targetUsername}:{targetPassword}");
    client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue(
        "Basic", Convert.ToBase64String(authBytes)
    );

    // 请求目标页面
    var response = await client.GetAsync("https://目标服务器的页面URL");
    response.EnsureSuccessStatusCode();

    // 将目标页面内容返回给前端
    var pageContent = await response.Content.ReadAsStringAsync();
    return Content(pageContent, "text/html");
}

视图中使用 #

直接在.cshtml里用iframe指向这个代理Action：

<iframe src="@Url.Action("ProxyTargetPage", "Home")" 
        width="100%" height="600px" 
        frameborder="0" scrolling="auto"></iframe>

这种方式完全绕开浏览器的凭证提示，因为所有身份验证都在服务器端完成，前端只和你的应用服务器交互。

二、同域/子域下的Cookie共享方案 #

如果目标服务器和你的应用在同域或同一父域下，可以通过共享Cookie实现免登录：

1. 设置跨子域共享Cookie #

在用户登录本应用成功时，向父域写入目标服务器认可的身份验证Cookie：

// 在登录成功的Action中执行
var authCookie = new HttpCookie("TargetAuthToken", "加密后的身份凭证")
{
    Domain = ".yourcompany.com", // 父域，确保子域能读取
    HttpOnly = true, // 防止前端JS窃取，提升安全性
    Secure = true, // 生产环境必须开启HTTPS才能生效
    SameSite = SameSiteMode.None // 跨子域需要设置None，同时必须配合Secure
};
Response.Cookies.Add(authCookie);

2. 目标服务器配置 #

让目标服务器识别这个TargetAuthTokenCookie，验证用户身份即可。之后iframe请求时，浏览器会自动带上该Cookie，目标服务器不会弹出凭证提示。

三、跨域场景下的浏览器端凭证传递（需目标服务器配合） #

如果必须让浏览器直接请求目标服务器，需要目标服务器做CORS配置：

1. 目标服务器CORS要求 #

目标服务器必须配置：

• 允许你的应用域名跨域访问
• 设置响应头Access-Control-Allow-Credentials: true

2. 前端AJAX预登录+iframe加载 #

用户登录本应用后，先通过AJAX请求目标服务器的登录接口，获取并存储Cookie，再加载iframe：

// 登录本应用成功后执行
$.ajax({
    url: "https://目标服务器URL/api/login",
    type: "POST",
    xhrFields: {
        withCredentials: true // 必须开启，否则浏览器不会保存目标服务器的Cookie
    },
    data: {
        username: "@User.Identity.Name",
        token: "@Model.TargetServerToken" // 从后端获取预生成的验证令牌，避免明文传密码
    },
    success: function() {
        // 登录成功后加载iframe，浏览器会自动带上目标服务器的Cookie
        $("#targetIframe").attr("src", "https://目标服务器页面URL");
    }
});

3. iframe标签配置 #

iframe必须添加allow="credentials"属性：

<iframe id="targetIframe" 
        width="100%" height="600px" 
        frameborder="0" allow="credentials"></iframe>

关键注意事项 #

• 禁止在前端明文传递密码，所有凭证处理尽量放在服务器端，避免安全风险。
• 生产环境必须使用HTTPS，否则Secure属性的Cookie无法生效，跨域Cookie传递也会被浏览器阻止。
• 如果目标服务器用Windows身份验证（NTLM/Kerberos），可以在服务器端代理时使用HttpClientHandler.UseDefaultCredentials = true，但需要你的应用服务器和目标服务器在同一域环境，且应用池账号有访问权限。

内容的提问来源于stack exchange，提问作者Keras-JOB