ASP.NET Core 6多租户SaaS应用额外Claims刷新丢失问题求助

方案一：禁止Cookie自动刷新 #

ASP.NET Core Cookie认证默认开启滑动过期（SlidingExpiration），用户在过期窗口内活动时会自动刷新Cookie，未做额外处理的话自定义Claims会丢失。若想禁止该行为，只需在配置Cookie认证时关闭滑动过期：

在Program.cs中配置认证服务：

builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        // 关闭滑动过期，Cookie到固定时间后强制过期，不再自动刷新
        options.SlidingExpiration = false;
        // 设置Cookie固定过期时长，可根据业务需求调整（示例为1天）
        options.ExpireTimeSpan = TimeSpan.FromDays(1);
    });

注意：关闭滑动过期后，用户登录状态会在固定时间后强制失效，无论是否有操作，需结合业务场景评估是否适用。

方案二：Cookie刷新时重新加载额外Claims #

如果需要保留滑动过期的便利性，更适配多租户场景的做法是在Cookie刷新时重新获取并注入租户相关Claims，可通过CookieAuthenticationEvents的OnRefreshPrincipal事件实现：

1. 先调整租户Claims获取方法（支持通过用户ID查询）：

private async Task<IEnumerable<Claim>> GetUserTenantAdditionalClaimsAsync(string userId)
{
    // 根据用户ID从数据库查询租户信息，生成对应Claims
    var user = await _userManager.FindByIdAsync(userId);
    if (user == null)
        return Enumerable.Empty<Claim>();
    
    // 示例：根据用户的TenantId生成Claims，替换为你的实际业务逻辑
    var tenantClaims = new List<Claim>
    {
        new Claim("TenantId", user.TenantId),
        // 添加其他租户权限相关Claims
    };
    return tenantClaims;
}

2. 在Program.cs的Cookie认证配置中注册事件：

builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        // 保留滑动过期特性（默认开启，可显式设置）
        options.SlidingExpiration = true;
        options.ExpireTimeSpan = TimeSpan.FromMinutes(20); // 匹配原有过期窗口
        
        options.Events = new CookieAuthenticationEvents
        {
            OnRefreshPrincipal = async context =>
            {
                // 从当前Principal中获取用户ID
                var userId = context.Principal.FindFirstValue(ClaimTypes.NameIdentifier);
                if (string.IsNullOrEmpty(userId))
                    return;
                
                // 获取最新的租户Claims
                var tenantClaims = await GetUserTenantAdditionalClaimsAsync(userId);
                
                // 操作当前用户的ClaimsIdentity
                var identity = context.Principal.Identity as ClaimsIdentity;
                if (identity == null)
                    return;
                
                // 清除原有租户相关Claims，避免重复
                var existingTenantClaims = identity.FindAll("TenantId"); // 替换为你的租户Claim类型
                foreach (var claim in existingTenantClaims)
                {
                    identity.RemoveClaim(claim);
                }
                
                // 添加最新的租户Claims
                identity.AddClaims(tenantClaims);
                
                // 更新Principal并标记需要重新写入Cookie
                context.ReplacePrincipal(new ClaimsPrincipal(identity));
                context.ShouldRenew = true;
            }
        };
    });

说明：该方案会在Cookie刷新时自动同步最新的租户权限Claims，既保留滑动过期的便捷性，又能适配多租户场景的动态权限需求。

内容的提问来源于stack exchange，提问作者John Mathison