Axios请求后端时HttpContext.User为空的技术求助

核心原因 #

跨域场景下，前端Axios默认不会携带Cookie，同时ASP.NET Core的Cookie认证和CORS配置未适配跨域凭证传递需求，导致后端无法识别用户身份。

解决方案步骤 #

1. 前端Axios配置允许携带凭证 #

在Vue项目中，全局或单个请求开启withCredentials：

// 全局配置（在main.js或axios配置文件中）
import axios from 'axios';
axios.defaults.withCredentials = true;

// 或单个请求配置
axios.get('https://localhost:5005/api/auth/me', {
  withCredentials: true
}).then(res => {
  console.log(res.data);
});

2. 后端CORS策略适配跨域凭证 #

修改Program.cs中的CORS配置，确保允许指定前端Origin并开启凭证支持：

builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowFrontend", policy =>
    {
        policy.WithOrigins("http://localhost:3000") // 必须指定具体前端地址，不能用AllowAnyOrigin
              .AllowAnyHeader()
              .AllowAnyMethod()
              .AllowCredentials(); // 关键：允许携带Cookie等凭证
    });
});

// 中间件顺序必须正确：CORS在认证之前
app.UseHttpsRedirection();
app.UseRouting();
app.UseCors("AllowFrontend"); // 这里启用CORS策略
app.UseAuthentication();
app.UseAuthorization();
app.MapControllers();

3. 调整Cookie认证的SameSite和Secure属性 #

跨域场景下，Cookie的SameSite需设为None，且因为后端是HTTPS，必须开启SecurePolicy：

builder.Services.AddAuthentication("cookie")
    .AddCookie("cookie", options =>
    {
        options.Cookie.SameSite = SameSiteMode.None;
        options.Cookie.SecurePolicy = CookieSecurePolicy.Always; // 强制HTTPS传输Cookie
        options.Cookie.HttpOnly = true; // 保持HttpOnly，提升安全性
        options.Cookie.Name = ".AspNetCore.Cookies"; // 默认名称，可自定义
    })
    .AddOAuth("Discord", options =>
    {
        // 原有的Discord OAuth配置保持不变
        options.SignInScheme = "cookie";
        options.ClientId = builder.Configuration.GetValue<string>("Discord:ClientId");
        options.ClientSecret = builder.Configuration.GetValue<string>("Discord:ClientSecret");
        options.AuthorizationEndpoint = "https://discord.com/oauth2/authorize";
        options.TokenEndpoint = "https://discord.com/api/oauth2/token";
        options.CallbackPath = "/oauth/discord-cb";
        options.Scope.Add("identify");
        options.SaveTokens = true;
        options.UserInformationEndpoint = "https://discord.com/api/users/@me";
        options.ClaimActions.MapJsonKey(ClaimTypes.NameIdentifier, "id");
        options.ClaimActions.MapJsonKey(ClaimTypes.Name, "username");

        options.Events.OnCreatingTicket = async ctx =>
        {
            var request = new HttpRequestMessage(HttpMethod.Get, ctx.Options.UserInformationEndpoint);
            request.Headers.Authorization = new AuthenticationHeaderValue("Bearer", ctx.AccessToken);

            var response = await ctx.Backchannel.SendAsync(request);
            var user = await response.Content.ReadFromJsonAsync<JsonElement>();
            ctx.RunClaimActions(user);
        };
    });

4. 验证要点 #

• 打开浏览器开发者工具的Network面板，查看请求的Request Headers是否包含Cookie字段
• 检查浏览器控制台是否存在跨域相关错误（如"Credentials flag is 'true' but Access-Control-Allow-Credentials is 'false'"）
• 后端调试时确认HttpContext.Request.Cookies包含认证Cookie（默认名称为.AspNetCore.Cookies）

内容的提问来源于stack exchange，提问作者Berkay