使用Microsoft.AspNetCore.Authentication.OpenIdConnect导致CookieRequestCultureProvider语言选择失效

问题根源 #

你遇到的语言切换失效问题，核心是两个配置不一致导致的：

• 认证Cookie在开发环境指定了SharedDomain，但本地化Cookie未匹配相同Domain，浏览器无法跨子域读取；
• CookiePolicy开启了CheckConsentNeeded，但本地化Cookie未标记为必要Cookie，被 consent 机制拦截。

修复步骤 #

1. 统一本地化Cookie的Domain #

修改SetLanguage方法，给本地化Cookie添加和认证Cookie一致的Domain配置：

public IActionResult SetLanguage(string culture, string returnUrl)
{
    var cookieOptions = new CookieOptions 
    { 
        Expires = DateTimeOffset.UtcNow.AddYears(1),
        // 与认证Cookie的Domain保持一致
        Domain = _env.IsDevelopment() ? OpenIdConfig.SharedDomain : null
    };

    Response.Cookies.Append(
        CookieRequestCultureProvider.DefaultCookieName,
        CookieRequestCultureProvider.MakeCookieValue(new RequestCulture(culture)),
        cookieOptions
    );

    return LocalRedirect(returnUrl);
}

注：去掉了多余的await Task.FromResult，因为LocalRedirect直接返回IActionResult，无需异步包装

2. 标记本地化Cookie为必要Cookie #

由于你的CookiePolicyOptions要求用户同意才能存储非必要Cookie，需将本地化Cookie标记为IsEssential以绕过拦截：

var cookieOptions = new CookieOptions 
{ 
    Expires = DateTimeOffset.UtcNow.AddYears(1),
    Domain = _env.IsDevelopment() ? OpenIdConfig.SharedDomain : null,
    IsEssential = true // 关键：标记为必要Cookie，不受Consent限制
};

3. 修正中间件顺序 #

确保中间件执行顺序正确，这是ASP.NET Core配置的常见坑：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // ... 静态文件等前置中间件
    app.UseCookiePolicy();       // 必须在认证、本地化之前
    app.UseRequestLocalization();// 本地化要在认证中间件之前执行
    app.UseAuthentication();
    app.UseAuthorization();
    // ... 路由、端点等中间件
}

原因：UseRequestLocalization需要在UseAuthentication之前运行，否则认证中间件会先处理请求，导致本地化Cookie未被读取

4. 优化认证Cookie的安全配置 #

你的认证Cookie设置HttpOnly = false存在XSS风险，建议改回默认的true（除非前端必须读取认证Cookie）：

options.Cookie.HttpOnly = true;

验证方式 #

1. 切换语言后，打开浏览器开发者工具（F12），查看Application > Cookies：
   • 确认存在.AspNetCore.Culture Cookie
   • 检查其Domain与认证Cookie（.{AppName}.Cookies）一致
   • 确认IsEssential属性为true

内容的提问来源于stack exchange，提问作者kds.dfw