使用OWIN认证无法设置ajs_user_id等Cookie的SameSite=None怎么办？

核心原因与解决方法 #

1. 针对OWIN认证流程修改Cookie属性 #

这类ajs_开头的Cookie通常由第三方统计工具（如Amplitude）或自定义逻辑生成，而非ASP.NET默认认证Cookie，Web.config全局配置可能无法覆盖。可以通过OWIN认证中间件的事件拦截修改：

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    Provider = new CookieAuthenticationProvider
    {
        OnResponseSignIn = context =>
        {
            // 修改ajs_user_id Cookie
            if (context.Response.Cookies["ajs_user_id"] != null)
            {
                var cookie = context.Response.Cookies["ajs_user_id"];
                cookie.SameSite = SameSiteMode.None;
                cookie.Secure = true; // SameSite=None必须配合Secure属性
            }
            // 修改ajs-anonymoususer_id Cookie
            if (context.Response.Cookies["ajs-anonymoususer_id"] != null)
            {
                var cookie = context.Response.Cookies["ajs-anonymoususer_id"];
                cookie.SameSite = SameSiteMode.None;
                cookie.Secure = true;
            }
        }
    }
});

2. 全局拦截响应修改Cookie #

如果Cookie并非在认证流程中生成，可添加自定义OWIN中间件统一处理：

app.Use(async (context, next) =>
{
    await next();
    
    // 遍历所有Cookie，修改ajs开头的项
    foreach (var cookieKey in context.Response.Cookies.Keys)
    {
        if (cookieKey.StartsWith("ajs_") || cookieKey == "ajs-anonymoususer_id")
        {
            var cookie = context.Response.Cookies[cookieKey];
            cookie.SameSite = SameSiteMode.None;
            cookie.Secure = true;
        }
    }
});

3. 修正Web.config配置 #

确保Web.config的配置覆盖正确范围，且SameSite=None与Secure属性绑定：

<system.web>
    <httpCookies requireSSL="true" sameSite="None" />
</system.web>
<system.webServer>
    <httpProtocol>
        <customHeaders>
            <add name="Set-Cookie" value="SameSite=None; Secure" />
        </customHeaders>
    </httpProtocol>
</system.webServer>

注意：若这些Cookie是前端JS直接设置的，后端配置不会生效，需在前端设置Cookie时添加SameSite=None; Secure属性。

内容的提问来源于stack exchange，提问作者siddhartha mohanty