Cordova安卓/iOS端访问.NET Core Web API时Session状态无法保持求助

这个问题我之前帮好几个开发者踩过坑——本质上是Cookie无法在Cordova的WebView中跨请求保留导致的Session ID频繁变化，毕竟ASP.NET Core默认是靠Cookie来跟踪Session的。浏览器里正常是因为浏览器默认会自动管理Cookie，但Cordova的WebView有自己的安全限制，得手动配置才行。下面一步步给你解决：

一、先把.NET Core Web API的配置搞对 #

1. 正确启用Session服务 #

确保你的API项目里已经启用了Session，并且中间件顺序正确：

• 如果是.NET 6+（Program.cs）：

  // 添加Session服务
  builder.Services.AddSession(options =>
  {
      options.Cookie.Name = ".MyApp.Session";
      options.Cookie.SameSite = SameSiteMode.None; // 关键：允许跨域Cookie
      options.Cookie.SecurePolicy = CookieSecurePolicy.None; // 如果API是HTTP就设为None，HTTPS的话设为Always
      options.Cookie.IsEssential = true; // 标记为必要Cookie，避免被浏览器/ WebView拦截
      options.IdleTimeout = TimeSpan.FromMinutes(30); // 设置合理的过期时间
  });
  
  // 配置Cookie策略
  builder.Services.Configure<CookiePolicyOptions>(options =>
  {
      options.MinimumSameSitePolicy = SameSiteMode.None;
      options.Secure = CookieSecurePolicy.None;
  });
  
  // 中间件顺序很重要！UseSession要在UseRouting之后，UseAuthorization之前
  app.UseRouting();
  app.UseSession();
  app.UseAuthorization();
  

• 如果是.NET Core 3.x及以前（Startup.cs）：
  在ConfigureServices里添加上述Session和Cookie配置，然后在Configure方法里按顺序调用中间件。

2. 配置CORS允许凭证 #

Cordova的请求属于跨域（通常是file://协议或者自定义Scheme），所以必须配置CORS允许携带凭证（Cookie）：

builder.Services.AddCors(options =>
{
    options.AddPolicy("CordovaCorsPolicy", policy =>
    {
        // 允许Cordova的来源，根据你的实际情况调整，比如file://或者自定义的myapp://
        policy.WithOrigins("file://", "myapp://")
              .AllowAnyHeader()
              .AllowAnyMethod()
              .AllowCredentials(); // 关键：允许携带Cookie等凭证
    });
});

// 启用CORS中间件，要放在UseRouting之后
app.UseCors("CordovaCorsPolicy");

二、配置Cordova的WebView允许Cookie #

不同平台的配置不一样，分别处理：

1. Android平台 #

修改项目根目录下的config.xml，添加以下偏好设置：

<!-- 允许文件系统访问和跨域请求 -->
<preference name="AndroidInsecureFileModeEnabled" value="true" />
<preference name="AllowFileAccess" value="true" />
<preference name="AllowUniversalAccessFromFileURLs" value="true" />

<!-- 如果使用cordova-plugin-ionic-webview，设置主机名匹配API域名 -->
<preference name="Hostname" value="your-api-domain.com" />

如果还是不行，可以手动修改Android的MainActivity.java，强制启用Cookie支持：

import android.webkit.CookieManager;
import android.os.Build;
import org.apache.cordova.CordovaWebView;

@Override
public void onCreate(Bundle savedInstanceState) {
    super.onCreate(savedInstanceState);
    // 获取WebView实例
    CordovaWebView webView = this.appView.getEngine().getView();
    // 启用Cookie管理
    CookieManager cookieManager = CookieManager.getInstance();
    if (Build.VERSION.SDK_INT >= Build.VERSION_CODES.LOLLIPOP) {
        // 允许第三方Cookie（跨域场景必须）
        cookieManager.setAcceptThirdPartyCookies(webView, true);
    } else {
        cookieManager.setAcceptCookie(true);
    }
}

2. iOS平台 #

同样修改config.xml：

<preference name="AllowFileAccessFromFileURLs" value="true" />
<preference name="AllowUniversalAccessFromFileURLs" value="true" />

<!-- 如果使用WKWebView（推荐），添加以下配置 -->
<preference name="WKWebViewOnly" value="true" />
<preference name="CordovaWebViewEngine" value="CDVWKWebViewEngine" />

如果用WKWebView，还需要确保Cookie存储被启用，可以在iOS的AppDelegate.m里添加：

#import <WebKit/WebKit.h>

- (BOOL)application:(UIApplication *)application didFinishLaunchingWithOptions:(NSDictionary *)launchOptions {
    // 配置WKWebView使用默认数据存储（保存Cookie）
    WKWebViewConfiguration *config = [[WKWebViewConfiguration alloc] init];
    config.websiteDataStore = WKWebsiteDataStore.defaultDataStore;
    // 其他原有配置...
    return YES;
}

三、Angular客户端启用凭证携带 #

Angular的HttpClient默认不会自动发送Cookie，必须明确设置withCredentials: true，有两种方式：

1. 全局配置（推荐） #

创建一个HTTP拦截器，给所有请求自动加上凭证：

import { Injectable } from '@angular/core';
import { HttpInterceptor, HttpRequest, HttpHandler } from '@angular/common/http';

@Injectable()
export class CredentialsInterceptor implements HttpInterceptor {
  intercept(req: HttpRequest<any>, next: HttpHandler) {
    // 克隆请求并添加withCredentials
    const clonedRequest = req.clone({ withCredentials: true });
    return next.handle(clonedRequest);
  }
}

然后在app.module.ts里注册这个拦截器：

import { HttpClientModule, HTTP_INTERCEPTORS } from '@angular/common/http';

@NgModule({
  imports: [HttpClientModule],
  providers: [
    { provide: HTTP_INTERCEPTORS, useClass: CredentialsInterceptor, multi: true }
  ]
})
export class AppModule { }

2. 单个请求配置 #

如果只想给特定请求启用，直接在请求里设置：

import { HttpClient } from '@angular/common/http';

constructor(private http: HttpClient) {}

getSessionId() {
  return this.http.get('https://your-api-url.com/api/session-id', { withCredentials: true });
}

四、验证测试 #

在API里加一个测试端点，返回当前Session ID：

[HttpGet("session-id")]
public IActionResult GetSessionId()
{
    return Ok(new { SessionId = HttpContext.Session.Id });
}

然后在Angular里多次调用这个端点，如果返回的Session ID一致，说明配置成功了。

额外注意点 #

• 如果你的API是HTTPS，而Cordova用的是HTTP，记得把API的Cookie SecurePolicy设为CookieSecurePolicy.None，否则Cookie会被WebView拦截。
• 尽量升级到最新的cordova-android和cordova-ios版本，旧版本的WebView对Cookie支持有bug。
• 检查Session的IdleTimeout设置，不要太短导致频繁过期。

内容的提问来源于stack exchange，提问作者liron