ASP.NET Core 6中Cookie认证授权失败及Claims无法获取问题求助

一、核心问题定位 #

你同时使用了AddIdentity和自定义AddCookie认证配置，两者存在冲突：AddIdentity会自动注册默认的Identity Cookie认证方案（IdentityConstants.ApplicationScheme），但你把自定义的NameCookieIdentity设为默认认证方案，导致[Authorize]特性无法识别你的认证Cookie；另外Cookie consent策略设置也会阻止认证Cookie的正常发送。

1. 修复认证方案冲突 #

移除单独的AddAuthentication().AddCookie(...)配置，复用Identity自带的Cookie配置，避免重复注册方案：

// 替换原有的AddAuthentication和AddCookie配置
builder.Services.AddIdentity<ApplicationUser, IdentityRole>(options =>
{
    // 保留你的Identity配置不变
    options.SignIn.RequireConfirmedAccount = true;
    options.Password.RequireDigit = true;
    options.Password.RequireLowercase = true;
    options.Password.RequireUppercase = true;
    options.Password.RequireNonAlphanumeric = true;
    options.Password.RequiredLength = 8;
    options.User.AllowedUserNameCharacters = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789-._@+";
    options.Lockout.DefaultLockoutTimeSpan = System.TimeSpan.FromHours(1);
    options.Lockout.AllowedForNewUsers = true;
    options.Lockout.MaxFailedAccessAttempts = 5;
    options.SignIn.RequireConfirmedAccount = true;
    options.SignIn.RequireConfirmedEmail = true;
    options.User.RequireUniqueEmail = true;    
})
.AddEntityFrameworkStores<ApplicationDbContext>()
.AddDefaultTokenProviders()
// 在这里配置Identity的Cookie，替代自定义Cookie
.AddCookie(options =>
{
    options.Cookie.Name = "NameCookieIdentity";
    options.Cookie.HttpOnly = true;
    options.Cookie.IsEssential = true; // 标记为必要Cookie，绕过consent检查
    options.ExpireTimeSpan = System.TimeSpan.FromDays(2);
    options.SlidingExpiration = true;
    options.LoginPath = "/Identity/User/Login";
    options.LogoutPath = "/Identity/User/Logout";
    options.ReturnUrlParameter = CookieAuthenticationDefaults.ReturnUrlParameter;
});

// 设置默认认证方案为Identity的ApplicationScheme
builder.Services.AddAuthentication(IdentityConstants.ApplicationScheme);

2. 修复Cookie Consent策略 #

你的CookiePolicyOptions开启了用户同意检查，需要调整确保认证Cookie被标记为必要，同时SameSite设为None时必须开启Secure：

builder.Services.Configure<CookiePolicyOptions>(options => 
{
    options.CheckConsentNeeded = context => true;
    options.MinimumSameSitePolicy = SameSiteMode.None;
    options.Secure = CookieSecurePolicy.Always; // SameSite为None时必须开启HTTPS传输
});

3. 简化登录时的认证逻辑 #

不要手动创建ClaimsIdentity，直接用SignInManager处理，它会自动生成正确的认证Cookie和Claims：

private async Task<IList<string>> CreatingAuthCookie(ApplicationUser user, bool rememberMe)
{
    var rolesUser = await _userManager.GetRolesAsync(user);
    
    // 用SignInManager自动处理认证Cookie
    await _signInManager.SignInAsync(user, rememberMe);
    
    // 如果需要自定义Claims，可添加以下代码：
    // var claimsPrincipal = await _signInManager.CreateUserPrincipalAsync(user);
    // claimsPrincipal.Identities.First().AddClaims(new[] { 
    //     new Claim(ClaimTypes.Name, user.NameUser),
    //     new Claim(ClaimTypes.Surname, user.LastNameUser)
    // });
    // await _signInManager.Context.SignInAsync(IdentityConstants.ApplicationScheme, claimsPrincipal);
    
    return rolesUser;
}

4. 调整中间件顺序 #

确保UseCookiePolicy()被添加到中间件管道中，顺序保持正确：

app.UseHttpsRedirection();
app.UseStaticFiles(new StaticFileOptions()
{
    HttpsCompression = Microsoft.AspNetCore.Http.Features.HttpsCompressionMode.Compress,
    OnPrepareResponse = (context) =>
    {
        var headers = context.Context.Response.GetTypedHeaders();
        headers.CacheControl = new Microsoft.Net.Http.Headers.CacheControlHeaderValue
        {
            Public = true,
            MaxAge = TimeSpan.FromDays(7)
        };
        headers.Expires = DateTime.UtcNow.AddDays(7);
    }
});
app.UseCookiePolicy(); // 新增：应用Cookie策略
app.UseRouting();
app.UseAuthentication();
app.UseAuthorization();
// 其他中间件

5. 修复用户ID获取逻辑 #

改用更可靠的方式获取用户ID：

// 方式1：使用UserManager的扩展方法
var userId = _userManager.GetUserId(HttpContext.User);

// 方式2：使用ClaimsPrincipal扩展方法
var userId = HttpContext.User.FindFirstValue(ClaimTypes.NameIdentifier);

二、身份验证管理优化建议 #

• 不要重复注册认证方案：尽量复用Identity自带的Cookie配置，多方案认证仅在有明确跨身份需求时使用。
• 依赖SignInManager而非手动编码：它会自动处理Claims、角色、Cookie有效期等细节，减少出错概率。
• 强化Cookie安全性：保持HttpOnly = true（防XSS）、Secure = Always（仅HTTPS传输），根据业务场景选择合适的SameSiteMode。
• 统一Claims获取方式：使用框架提供的扩展方法替代手动遍历Claims，代码更简洁可靠。
• 添加调试日志：在appsettings.json中开启认证日志，方便排查问题：

  "Logging": {
    "LogLevel": {
      "Microsoft.AspNetCore.Authentication": "Debug"
    }
  }
  

• 验证Cookie状态：在浏览器开发者工具的Application标签中，检查NameCookieIdentity Cookie是否存在，且包含正确的Claims信息。

内容的提问来源于stack exchange，提问作者Stephen Programming