ASP.NET MVC站点同名跨域Cookie问题：无法设置正确Cookie的解决方法

在play.exposureevents.store域名下，始终无法设置正确的Cookie。当前该域名下存在一个来自exposureevents.com的同名Cookie，导致认证过程错误使用.exposureevents.com的Cookie，而非目标域名的正确Cookie。需要解决如何删除错误Cookie或强制设置正确Cookie的问题。

登录时创建Cookie的代码 #

public SiteMemberModel CreateAuthenticationCookie(string username, Guid userId, string roles)
{
    var member = GetMemberProfile(userId, username);

    var ticket = new FormsAuthenticationTicket(
        2,
        username,
        DateTime.Now,
        DateTime.Now.AddMinutes(FormsAuthentication.Timeout.TotalMinutes),
        false,
        JsonConvert.SerializeObject(member, Formatting.None),
        FormsAuthentication.FormsCookiePath);

    var cookie = new HttpCookie(FormsAuthentication.FormsCookieName, FormsAuthentication.Encrypt(ticket))
    {
        Secure = true,
        Path = FormsAuthentication.FormsCookiePath,
        SameSite = SameSiteMode.None
    };

    if (!HttpContext.Current.Request.IsLocal)
    {
        cookie.Domain = Helper.GetDomain();
    }

    if (ticket.IsPersistent)
        cookie.Expires = ticket.Expiration;

    HttpContext.Current.Response.Cookies.Add(cookie);

    return member;
}

Web.config配置 #

<httpCookies requireSSL="true" sameSite="None" />
<authentication mode="Forms">
  <forms loginUrl="/login" path="/" cookieSameSite="None" requireSSL="true" protection="All" timeout="2880" slidingExpiration="true" name="_EXPOSURE_" />
</authentication>

Cookie截图 #

解决方案 #

1. 删除错误的父域名Cookie #

要清除.exposureevents.com下的同名Cookie，需创建一个匹配原Cookie名称、路径、域名，且过期时间设为过去的Cookie：

public void RemoveParentDomainCookie()
{
    var cookieName = FormsAuthentication.FormsCookieName;
    var invalidCookie = new HttpCookie(cookieName)
    {
        Domain = ".exposureevents.com",
        Path = FormsAuthentication.FormsCookiePath,
        Expires = DateTime.Now.AddDays(-1),
        Secure = true,
        SameSite = SameSiteMode.None
    };
    HttpContext.Current.Response.Cookies.Add(invalidCookie);
}

在登录流程开始前调用此方法，确保旧Cookie被浏览器标记为失效。

2. 强制绑定当前子域名Cookie #

修改CreateAuthenticationCookie中的域名设置逻辑，明确指定当前子域名，或直接省略Domain属性让浏览器自动绑定：

if (!HttpContext.Current.Request.IsLocal)
{
    // 明确指定当前子域名，避免匹配父域名
    cookie.Domain = "play.exposureevents.store";
    // 或者直接注释掉原域名设置，让浏览器自动处理
    // cookie.Domain = Helper.GetDomain();
}

省略Domain属性时，浏览器会将Cookie绑定到当前请求的完整域名（play.exposureevents.store），不会向上匹配父域名，从根源避免冲突。

3. 确认Web.config配置有效性 #

确保forms节点未设置domain属性，当前配置已符合要求：

<authentication mode="Forms">
  <forms loginUrl="/login" path="/" cookieSameSite="None" requireSSL="true" protection="All" timeout="2880" slidingExpiration="true" name="_EXPOSURE_" />
</authentication>

若添加domain=".exposureevents.com"，会强制Cookie绑定到父域名，导致冲突问题持续存在。

核心逻辑说明 #

• 浏览器Cookie匹配规则：当存在父域名和子域名的同名Cookie时，ASP.NET会优先读取父域名的Cookie（因为其覆盖范围更广）。
• 删除Cookie必须严格匹配名称、路径、域名三个核心属性，否则无法触发浏览器的删除逻辑。

内容的提问来源于stack exchange，提问作者Mike Flynn