Cloudflare SSL环境下IIS部署API无法读取Tenant ID Cookie问题

问题描述 #

基于Angular+aspnetboilerplate模板开发的项目，登录页面切换租户时，系统会先验证租户是否存在，随后添加Abp.TenantId Cookie并刷新页面。但刷新后页面仍显示未选择租户，登录后默认以主机身份而非指定租户身份登录。该问题仅在部署到带有Cloudflare SSL的服务器时出现，本地运行、普通服务器部署均正常，HTTP切换到HTTPS后的问题原因暂未通过请求响应头排查到。

可能原因及排查解决步骤 #

1. 核心问题：Cookie属性配置不兼容HTTPS/Cloudflare环境 #

HTTPS环境下浏览器对Cookie的安全要求更严格，Cloudflare的反向代理也会影响Cookie的传递：

• 检查Abp.TenantId Cookie的Secure属性：HTTPS协议下，浏览器只会发送带有Secure=true的Cookie，若该Cookie未设置此属性，刷新后会丢失。
• 检查SameSite属性：由于前端域名（admincompany.com）和API域名（apicompany.com）为同站点（same-site），需确保Cookie的SameSite设置为Lax；若为跨域场景，需设置为None并配合Secure=true。
• 检查Domain属性：确认Cookie的Domain设置为.company.com（顶级域名前缀），保证子域名间可共享Cookie。

2. Cloudflare配置调整 #

• 禁用Rocket Loader：Rocket Loader的异步加载机制可能干扰Cookie的正常传递，在Cloudflare控制台的「速度」>「优化」中关闭该功能后测试。
• 排查缓存规则：确保登录相关API（如/api/services/app/Session/GetCurrentLoginInformations）未被Cloudflare缓存，可在「缓存」>「页面规则」中添加规则排除该路径的缓存。
• 确认SSL模式：Cloudflare的SSL模式建议设置为「严格」，避免混合内容导致的Cookie丢失问题，同时后端服务器需配置有效的SSL证书。

3. ABP后端配置修正 #

• 在ABP的Cookie配置中，强制开启HTTPS环境下的Secure属性：

  // 示例：在Startup.cs中配置Cookie
  services.Configure<CookiePolicyOptions>(options =>
  {
      options.Secure = CookieSecurePolicy.Always; // 始终使用Secure属性
      options.SameSite = SameSiteMode.Lax; // 根据场景调整为None或Lax
  });
  

• 确认CORS配置正确性：确保Access-Control-Allow-Credentials为true，且Access-Control-Allow-Origin设置为具体的前端域名（不可使用通配符*）。

请求响应头信息 #

请求头 #

:authority: apicompany.com
:method: GET
:path: /api/services/app/Session/GetCurrentLoginInformations
:scheme: https
accept: text/plain
accept-encoding: gzip, deflate, br
accept-language: en-US,en;q=0.9
cache-control: no-cache
expires: Sat, 01 Jan 2000 00:00:00 GMT
origin: https://admincompany.com
pragma: no-cache
referer: https://admincompany.com/
sec-ch-ua: "Chromium";v="106", "Google Chrome";v="106", "Not;A=Brand";v="99"
sec-ch-ua-mobile: ?0
sec-ch-ua-platform: "Windows"
sec-fetch-dest: empty
sec-fetch-mode: cors
sec-fetch-site: same-site
user-agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/106.0.0.0 Safari/537.36
x-requested-with: XMLHttpRequest

响应头 #

access-control-allow-credentials: true
access-control-allow-origin: https://admincompany.com
alt-svc: h3=":443"; ma=86400, h3-29=":443"; ma=86400
cf-cache-status: DYNAMIC
cf-ray: 762b1f89d89775bf-LHR
content-encoding: br
content-type: application/json; charset=utf-8
date: Mon, 31 Oct 2022 08:46:57 GMT
nel: {"success_fraction":0,"report_to":"cf-nel","max_age":604800}
report-to: {"endpoints":[{"url":"https:\/\/a.nel.cloudflare.com\/report\/v3?s=..."}],"group":"cf-nel","max_age":604800}
server: cloudflare
vary: Origin
x-content-type-options: nosniff
x-frame-options: SAMEORIGIN
x-xss-protection: 1; mode=block

内容的提问来源于stack exchange，提问作者Osama El-Masri