ASP.NET Core Web Api如何判断用户是否仍处于登录状态？

当前方案的合理性 #

你这套基于Cookie认证的ASP.NET Core Web API + Angular前端方案是完全合理的，尤其适配浏览器端应用场景：

• 浏览器会自动携带Cookie，前端无需手动处理令牌的存储与携带，规避了localStorage/sessionStorage带来的XSS风险
• Cookie认证中间件配置的滑动过期、自定义重定向返回401的逻辑，完全契合API服务的交互需求

刷新页面后恢复用户状态的解决方案 #

创建受保护的用户信息端点是常规且合理的实践，具体建议如下：

1. 端点设计优化 #

不建议用GET /user/<id>这种需要传ID的接口，推荐设计成GET /api/users/current（或/api/user/me），后端通过认证上下文直接获取当前用户身份，无需前端传递ID：

[Authorize]
[ApiController]
[Route("api/users")]
public class UsersController : ControllerBase
{
    // 原有接口
    [HttpGet]
    public IActionResult GetUsers()
    {
        // 业务逻辑实现
    }

    // 新增获取当前用户信息接口
    [HttpGet("current")]
    public IActionResult GetCurrentUser()
    {
        // 从认证Claims中提取用户ID
        var userId = User.FindFirstValue(ClaimTypes.NameIdentifier);
        // 从内存字典/数据源中获取用户数据
        var user = _userStore.GetUserById(userId);
        if (user == null)
        {
            return NotFound();
        }
        // 返回前端所需的非敏感信息（如ID、用户名、角色）
        return Ok(new { Id = user.Id, Username = user.Username, Roles = user.Roles });
    }
}

2. 前端状态恢复逻辑 #

在Angular应用启动阶段（比如借助APP_INITIALIZER）调用该接口：

• 若接口返回200，说明Cookie有效，将返回的用户数据存入currentUser对象，恢复权限控制逻辑
• 若接口返回401，说明Cookie已过期或无效，引导用户进入登录页面

这种方式既实现了「有有效Cookie即判定登录」的目标，也解决了前端内存状态刷新丢失的问题。

3. 额外优化建议 #

• 该接口需保持轻量，仅返回前端必需的用户信息，避免暴露敏感数据（如密码哈希）
• 生产环境中确保Cookie配置HttpOnly（防止XSS窃取）、Secure（仅HTTPS传输）、SameSite=Strict/Lax（防范CSRF攻击）
• 可给接口添加缓存策略（如设置响应头Cache-Control: private, max-age=300），减少重复请求

内容的提问来源于stack exchange，提问作者chick3n0x07CC