Chrome在ASP.NET OWIN的OpenID Connect流程中不保存/返回Nonce Cookie问题

你遇到的这个问题是Chrome 80版本之后对SameSite Cookie规则的严格限制引发的，我来帮你拆解原因和对应的解决办法：

核心原因 #

Chrome 80+ 强制执行了更严格的SameSite Cookie规范：如果Cookie设置了SameSite=None，则必须同时指定Secure属性，否则浏览器会直接拒绝保存这个Cookie。而你的场景是在localhost的HTTP环境下，服务器返回的Nonce Cookie只设置了SameSite=None，但无法添加Secure属性（因为Secure要求请求必须是HTTPS），所以Chrome直接忽略了这个Cookie，导致回调时无法验证Nonce，最终抛出IDX21323错误。

Edge和Firefox在localhost HTTP场景下对这个规则的限制更宽松，所以它们能正常保存Cookie并完成验证流程。

解决方案 #

1. 开发环境临时适配（localhost HTTP） #

方法一：修改Chrome设置允许不安全的localhost Cookie

• 打开Chrome，输入地址 chrome://flags/#allow-insecure-localhost
• 将该选项设置为Enabled
• 重启Chrome后，localhost的HTTP请求就能正常保存带SameSite=None的Cookie了

方法二：调整OWIN的Cookie配置（针对开发环境）

你可以在Startup.cs里根据运行环境动态调整Cookie的SameSite设置，比如在开发环境下不强制SameSite=None：

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    // 其他原有配置...
    CookieSameSite = Environment.IsDevelopment() ? SameSiteMode.Unspecified : SameSiteMode.None,
    CookieSecure = Environment.IsDevelopment() ? CookieSecureOption.SameAsRequest : CookieSecureOption.Always
});

如果你的OWIN版本支持SameSiteMode.Unspecified，这个值会让浏览器自动处理SameSite规则，避免在localhost HTTP下的冲突。

方法三：临时禁用Nonce验证（仅开发测试用，不推荐生产）

如果只是临时测试功能，可以在OpenID Connect配置里关闭Nonce验证，但生产环境绝对不能这么做——Nonce是防止重放攻击的关键机制：

app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions
{
    // 其他原有配置...
    ProtocolValidator = new OpenIdConnectProtocolValidator
    {
        RequireNonce = false
    }
});

2. 生产环境的正确配置 #

生产环境必须使用HTTPS，这样你可以在Cookie配置中同时设置SameSite=None和Secure属性，Chrome就会正常保存Cookie：

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    // 其他原有配置...
    CookieSameSite = SameSiteMode.None,
    CookieSecure = CookieSecureOption.Always
});

额外验证点 #

配置完成后，你可以检查回调请求的Cookie头，确认OpenIdConnect.nonce.*格式的Cookie是否被携带。如果配置正确，Chrome会在POST /callback时带上这个Cookie，验证流程就能正常通过了。

内容的提问来源于stack exchange，提问作者Scott Mitchell