Asp.NET 6 + Angular登录数据存储问题：Session无法持久化

一、后端配置核心核查 #

• Session中间件顺序不能错：Asp.NET 6里Session必须放在UseRouting之后、UseAuthorization之前配置，顺序错了直接导致Session无法持久化。示例代码：

builder.Services.AddSession(options =>
{
    options.IdleTimeout = TimeSpan.FromMinutes(30);
    options.Cookie.HttpOnly = true;
    options.Cookie.IsEssential = true;
    // 跨域场景下如果是不同域名，要设为SameSiteMode.None，同时必须配HTTPS
    options.Cookie.SameSite = SameSiteMode.Lax;
});

// 中间件注册顺序
app.UseRouting();
app.UseSession(); // 关键位置，不能乱调
app.UseAuthorization();

• 分布式缓存前置配置：AddDistributedMemoryCache必须在AddSession之前注册，不然Session没地方存：

builder.Services.AddDistributedMemoryCache();
builder.Services.AddSession(...);

• CORS配置要精准：绝对不能用AllowAnyOrigin()和AllowCredentials()搭配，必须指定具体的前端Origin，示例：

builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowAngular", policy =>
    {
        policy.WithOrigins("http://localhost:4200") // 替换成你的Angular实际地址
              .AllowAnyHeader()
              .AllowAnyMethod()
              .AllowCredentials();
    });
});

// CORS中间件要放在UseRouting之前
app.UseCors("AllowAngular");

二、Angular端请求必须带凭证 #

不管是单个请求还是全局配置，都要开启withCredentials: true，否则浏览器不会携带Session Cookie：

• 单个请求示例：

this.http.post('/api/Login', { email: 'xxx@xxx.com', password: 'xxxxxx' }, { withCredentials: true })
  .subscribe(res => { /* 处理登录响应 */ });

• 全局拦截器配置（避免每个请求都写）：

import { Injectable } from '@angular/core';
import { HttpInterceptor, HttpRequest, HttpHandler } from '@angular/common/http';

@Injectable()
export class CredentialInterceptor implements HttpInterceptor {
  intercept(req: HttpRequest<any>, next: HttpHandler) {
    // 克隆请求并带上凭证
    const clonedReq = req.clone({ withCredentials: true });
    return next.handle(clonedReq);
  }
}

// 在AppModule的providers里注册拦截器
providers: [
  { provide: HTTP_INTERCEPTORS, useClass: CredentialInterceptor, multi: true }
]

三、Session读写逻辑验证 #

后端控制器里读写Session要确保用HttpContext.Session，别搞混其他存储方式：

[HttpPost]
public IActionResult Login([FromBody] LoginModel model)
{
    // 邮箱密码验证逻辑...
    if (验证通过)
    {
        HttpContext.Session.SetString("id", user.Id.ToString());
        HttpContext.Session.SetString("departmentId", user.DepartmentId.ToString());
        // 首次读取测试（这里能读到是正常的，因为是同一次请求上下文）
        var tempId = HttpContext.Session.GetString("id");
        return Ok(new { message = "登录成功" });
    }
    return BadRequest("账号或密码错误");
}

// 新增一个接口专门测试Session读取
[HttpGet("CheckSession")]
public IActionResult CheckSession()
{
    var id = HttpContext.Session.GetString("id");
    var deptId = HttpContext.Session.GetString("departmentId");
    return Ok(new { userId = id, departmentId = deptId });
}

测试流程：先调用Login接口，再调用CheckSession接口，看返回的Session值是否存在。

四、跨域场景额外注意 #

如果前后端是跨域部署（不同域名/端口）：

• 后端Session Cookie要设SameSiteMode.None，同时必须启用HTTPS（浏览器强制要求SameSite=None搭配Secure属性）
• 开发环境下如果用HTTP，可以在Chrome里开启chrome://flags/#same-site-by-default-cookies和chrome://flags/#cookies-without-same-site-must-be-secure两个选项为Disabled，临时绕过限制（仅限开发测试）

内容的提问来源于stack exchange，提问作者FalAn