ASP.NET MVC Core中Cookie存储JWT的自动登录问题求助

首先咱们拆解下当前配置的核心问题：

1. 认证方案冲突：你给AddJwtBearer和AddCookie用了同一个JwtBearerDefaults.AuthenticationScheme名称，导致AddCookie直接覆盖了AddJwtBearer的配置，JWT自动验证逻辑根本没机会生效。
2. JwtBearer默认读取位置不匹配：默认情况下JwtBearer中间件只会从Authorization: Bearer <token>请求头拿令牌，但你的JWT存在Cookie里，中间件找不到要验证的令牌，自然没法自动完成认证。
3. TokenValidationParameters配置矛盾：你设置了ValidateIssuer = false却又指定ValidIssuer，同理ValidateAudience = false却配置ValidAudience——开关设为false时，对应的有效值配置不会生效，等于白配置还埋下逻辑隐患。

下面给你两种可行的解决方案，按需选择：

方案一：让JwtBearer直接从Cookie读取令牌（推荐） #

核心是修改JwtBearer配置，让它从指定Cookie中获取JWT并自动验证，验证通过后直接生成ClaimsPrincipal完成认证，不需要额外的Login Action。

步骤1：修正认证配置 #

调整Startup.ConfigureServices里的认证代码：

var key = new SymmetricSecurityKey(Encoding.ASCII.GetBytes("password"));
var tokenValidationParameters = new TokenValidationParameters
{
    // 修正矛盾配置：要验证Issuer/Audience就把开关设为true
    ValidateIssuer = true,
    ValidIssuer = "issuerapp",
    ValidateAudience = true,
    ValidAudience = "clientapp",
    ValidateIssuerSigningKey = true,
    IssuerSigningKey = key,
    RequireExpirationTime = true, // 建议开启，强制JWT带过期时间
    ValidateLifetime = true,
    ClockSkew = TimeSpan.Zero
};

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.ClaimsIssuer = "issuerapp";
        options.TokenValidationParameters = tokenValidationParameters;
        options.SaveToken = true;
        
        // 自定义令牌获取逻辑：从指定Cookie中读取JWT
        options.TokenRetriever = request =>
        {
            var cookieName = Configuration.GetValue<string>("AppSettings:CookieName");
            return request.Cookies[cookieName];
        };
        
        // 处理验证失败的情况
        options.Events = new JwtBearerEvents
        {
            OnChallenge = context =>
            {
                context.HandleResponse();
                // 验证失败时重定向到配置的AccessDenied页面
                context.Response.Redirect(authenticationSettings.AccessDeniedPath);
                return Task.CompletedTask;
            }
        };
    });

步骤2：确保中间件顺序正确 #

在Startup.Configure里必须保证中间件顺序：

app.UseRouting();
// 先认证，再授权
app.UseAuthentication();
app.UseAuthorization();

app.UseEndpoints(endpoints =>
{
    endpoints.MapControllers();
});

跨域场景额外注意 #

如果颁发方和客户端是不同域名，颁发方设置Cookie时必须配置：

• SameSite=None
• Secure=true（仅HTTPS环境可用）
  否则浏览器不会跨域携带Cookie，客户端拿不到JWT。

方案二：基于Cookie认证自动验证JWT #

如果业务还需要Cookie认证的其他特性（比如刷新令牌、持久化登录），可以在Cookie认证的OnValidatePrincipal事件里手动读取并验证JWT，生成ClaimsPrincipal完成自动登录。

修正后的配置代码 #

var key = new SymmetricSecurityKey(Encoding.ASCII.GetBytes("password"));
var tokenValidationParameters = new TokenValidationParameters
{
    ValidateIssuer = true,
    ValidIssuer = "issuerapp",
    ValidateAudience = true,
    ValidAudience = "clientapp",
    ValidateIssuerSigningKey = true,
    IssuerSigningKey = key,
    RequireExpirationTime = true,
    ValidateLifetime = true,
    ClockSkew = TimeSpan.Zero
};

services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(CookieAuthenticationDefaults.AuthenticationScheme, options =>
    {
        options.Cookie.HttpOnly = true;
        options.Cookie.Name = Configuration.GetValue<string>("AppSettings:CookieName");
        options.AccessDeniedPath = authenticationSettings.AccessDeniedPath;
        // 跨域场景需要加这两行
        options.Cookie.SameSite = SameSiteMode.None;
        options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
        
        options.Events = new CookieAuthenticationEvents
        {
            OnValidatePrincipal = async context =>
            {
                var jwtToken = context.Request.Cookies[options.Cookie.Name];
                if (string.IsNullOrEmpty(jwtToken))
                {
                    // 没有JWT，拒绝认证
                    context.RejectPrincipal();
                    await context.HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
                    return;
                }

                var tokenHandler = new JwtSecurityTokenHandler();
                try
                {
                    // 验证JWT并生成Principal
                    var principal = tokenHandler.ValidateToken(jwtToken, tokenValidationParameters, out _);
                    // 替换当前Principal，完成自动登录
                    context.Principal = principal;
                    context.ShouldRenew = false; // 不需要刷新Cookie
                }
                catch (SecurityTokenException)
                {
                    // JWT验证失败，拒绝认证并登出
                    context.RejectPrincipal();
                    await context.HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
                }
            },
            OnSigningOut = context =>
            {
                context.HttpContext.Response.Redirect(Configuration.GetValue<string>("AppSettings:LogoutPath"));
                return Task.CompletedTask;
            }
        };
    });

同样要保证UseAuthentication和UseAuthorization的顺序正确。

最后验证点 #

1. 颁发方生成的JWT必须包含正确的iss（issuerapp）、aud（clientapp）和过期时间。
2. 客户端和颁发方的签名密钥（这里是"password"）必须完全一致，且编码格式统一（你用了ASCII，要确保颁发方也是用ASCII编码生成密钥）。

内容的提问来源于stack exchange，提问作者HashTag