使用ASP.NET Core Identity结合AJAX请求返回401未授权问题求助

针对你遇到的AJAX请求携带Cookie仍返回401、Identity用户为空的问题，结合你的配置和场景，从以下几个核心方向排查解决：

1. 严格校验中间件执行顺序 #

中间件顺序直接决定认证逻辑是否生效，必须遵循以下优先级：

var app = builder.Build();

// 静态文件等前置中间件
app.UseStaticFiles();

// 路由初始化必须放在最前
app.UseRouting();

// CORS中间件：必须在认证、授权中间件之前执行
app.UseCors(cors =>
{
    cors.WithOrigins("https://localhost:7268")
        .AllowAnyMethod()
        .AllowAnyHeader()
        .AllowCredentials();
});

// Session中间件（如果用到）：必须在认证中间件之前
app.UseSession();

// 认证、授权中间件顺序不可颠倒
app.UseAuthentication();
app.UseAuthorization();

// 最后映射API端点
app.UseEndpoints(endpoints =>
{
    endpoints.MapControllers();
});

2. 统一Authentication Scheme与Identity Cookie配置 #

你自定义了"Cookies"认证Scheme，但如果使用Identity框架，需确保Identity的Cookie与该Scheme完全对齐，否则认证逻辑无法识别请求中的Cookie：

调整Identity Cookie配置 #

services.AddDefaultIdentity<IdentityUser>(options => options.SignIn.RequireConfirmedAccount = true)
    .AddEntityFrameworkStores<ApplicationDbContext>()
    .AddSignInManager();

// 让Identity使用你自定义的Cookie Scheme
services.ConfigureApplicationCookie(options =>
{
    options.Cookie.Name = "Cookies";
    options.Cookie.SameSite = SameSiteMode.None; // 跨域场景下None比Lax兼容性更好
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always; // 配合SameSite=None必须启用Secure
    options.Events.OnRedirectToLogin = context =>
    {
        context.Response.StatusCode = 401;
        return Task.CompletedTask;
    };
});

// 保持Authentication配置与Identity一致
services.AddAuthentication(options =>
{
    options.DefaultScheme = "Cookies";
    options.DefaultChallengeScheme = "Cookies";
    options.DefaultSignInScheme = "Cookies";
    options.DefaultAuthenticateScheme = "Cookies";
}).AddCookie("Cookies"); // 此处可复用上方ConfigureApplicationCookie的配置，无需重复编写

登录时指定正确的Scheme #

确保登录操作使用自定义Scheme生成认证Cookie：

// 在登录逻辑中调用
await _signInManager.SignInAsync(user, isPersistent: false, authenticationScheme: "Cookies");

3. 区分Session Cookie与Authentication Cookie #

你提到的.AspNetCore.Session是会话存储Cookie，并非Identity认证依赖的Cookie。认证逻辑需要的是名为"Cookies"（或默认的.AspNetCore.Identity.Application）的Cookie：

• 通过Chrome开发者工具「Application」标签，确认请求中是否同时携带这两个Cookie
• 如果仅存在Session Cookie，说明登录流程未正确生成认证Cookie，检查SignInAsync是否调用且Scheme配置正确
• 若两个Cookie都存在，在API控制器中添加日志验证认证状态：

  [ApiController]
  [Route("api/[controller]")]
  public class TestController : ControllerBase
  {
      [HttpGet]
      [Authorize]
      public IActionResult Get()
      {
          var cookies = Request.Cookies;
          var isAuthenticated = User.Identity.IsAuthenticated;
          return Ok(new { isAuthenticated, cookies });
      }
  }
  

4. 跨域Cookie的额外配置要点 #

• 前端域名必须与CORS配置的WithOrigins完全一致（包含https协议和端口号，不能省略）
• 若前端和API均为HTTPS环境，Cookie的SecurePolicy必须设为Always，否则浏览器会拒绝发送Cookie
• 跨域场景下SameSiteMode.None比Lax兼容性更好，部分浏览器对跨域Lax Cookie的发送规则限制更严格

5. Session依赖场景的补充配置 #

如果你的认证逻辑依赖Session存储用户信息，需确保Session中间件配置正确且顺序在认证中间件之前：

services.AddSession(options =>
{
    options.Cookie.Name = ".AspNetCore.Session";
    options.Cookie.SameSite = SameSiteMode.None;
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
    options.IdleTimeout = TimeSpan.FromMinutes(30);
});

内容的提问来源于stack exchange，提问作者Stephen