IIS配置httpCookies domain属性引发ERR_TOO_MANY_REDIRECTS问题求助

核心原因 #

当配置domain="FQDN"后，Cookie的作用域被严格限定在指定的完全限定域名下，但密码修改流程中可能存在域名不匹配、子域名跳转或Cookie传递失效的情况，导致系统持续判定用户未通过验证，触发循环重定向。

具体解决步骤 #

• 校验FQDN格式准确性
  确保配置的FQDN不带https://协议或端口，正确格式应为example.com或app.example.com。若错误配置成带协议的格式，会导致Cookie域名无效，浏览器无法正常携带Cookie。
  正确配置示例：httpCookies domain="app.example.com" httpOnlyCookies="true" requireSSL="true"

• 对齐改密流程的跳转域名
  检查密码修改过程中所有跳转的URL，确保它们都属于配置的FQDN域名范围。如果改密流程涉及子域名跳转，可将domain配置为.your-domain.com（开头带点），让同一主域名下的所有子域名都能共享Cookie。

• 验证Cookie实际生成状态
  用浏览器开发者工具（F12）的Application标签查看登录/改密过程中的Cookie：

  • 确认Cookie的Domain属性与IIS配置的FQDN一致；
  • 确认Secure和HttpOnly属性已正确启用；
  • 如果Cookie域名和配置不符，说明应用代码可能手动设置了Cookie域名，需要修改代码中的相关设置，与IIS配置保持统一。

• 排查重定向规则冲突
  检查web.config中的<rewrite>规则，确认是否有重定向规则与Cookie验证逻辑冲突。比如部分规则可能在Cookie未生效时反复触发跳转，需添加对改密页面的例外规则，避免循环触发。

内容的提问来源于stack exchange，提问作者sphar19u70