.NET Core中间件反向代理Set-Cookie失效及SessionID无法获取问题

看起来你踩了反向代理处理Cookie时的两个常见坑——CookieContainer没生效，以及Set-Cookie头没正确转发给浏览器。咱们一步步拆解修复：

1. 为什么CookieContainer拿不到Session ID？ #

你的代码里创建了HttpClientHandler和CookieContainer，但根本没让_httpClient用上这个Handler！默认注入的HttpClient用的是自己的默认Handler，和你新建的这个完全没关系，自然拿不到目标服务返回的Cookie。

修复方案 #

如果是临时使用，直接用自定义Handler创建HttpClient实例：

// 替换原来的_httpClient.SendAsync部分
CookieContainer cookies = new CookieContainer();
HttpClientHandler handler = new HttpClientHandler();
handler.CookieContainer = cookies;

// 用自定义Handler创建HttpClient，而不是用已有的_httpClient
using var proxyClient = new HttpClient(handler);
using (var responseMessage = await proxyClient.SendAsync(targetRequestMessage, HttpCompletionOption.ResponseHeadersRead, context.RequestAborted))
{
    // 现在就能正常拿到Cookie了
    IEnumerable<Cookie> responseCookies = cookies.GetCookies(targetUri).Cast<Cookie>();
    foreach (Cookie cookie_ in responseCookies)
        Console.WriteLine($"{cookie_.Name}: {cookie_.Value}");
    
    // 后续响应处理逻辑...
}

如果要复用HttpClient（推荐，符合最佳实践），在DI配置时指定Handler：

// Program.cs/Startup.cs
builder.Services.AddHttpClient("ReverseProxyClient")
    .ConfigurePrimaryHttpMessageHandler(() => new HttpClientHandler
    {
        CookieContainer = new CookieContainer()
    });

然后在中间件注入IHttpClientFactory获取客户端：

private readonly IHttpClientFactory _httpClientFactory;

public YourMiddleware(RequestDelegate next, IHttpClientFactory httpClientFactory)
{
    _nextMiddleware = next;
    _httpClientFactory = httpClientFactory;
}

// 在Invoke方法中使用
var proxyClient = _httpClientFactory.CreateClient("ReverseProxyClient");
// 取出Handler里的CookieContainer
var handler = (HttpClientHandler)proxyClient.GetType().GetField("_handler", BindingFlags.Instance | BindingFlags.NonPublic).GetValue(proxyClient);
var cookies = handler.CookieContainer;

2. 反向代理的Set-Cookie为什么没在浏览器生效？ #

你的CopyFromTargetResponseHeaders大概率没正确处理Set-Cookie——这是多值头，不能像普通头那样直接覆盖，必须逐个追加。另外，如果目标服务的Cookie指定了和代理不匹配的Domain/Path，浏览器会直接拒绝设置。

修复方案 #

重写响应头复制逻辑，重点处理Set-Cookie：

private void CopyFromTargetResponseHeaders(HttpContext context, HttpResponseMessage responseMessage)
{
    // 复制普通响应头
    foreach (var header in responseMessage.Headers)
    {
        if (!context.Response.Headers.ContainsKey(header.Key) && header.Key != "Transfer-Encoding")
        {
            context.Response.Headers.TryAdd(header.Key, header.Value.ToArray());
        }
    }

    // 复制内容头
    foreach (var header in responseMessage.Content.Headers)
    {
        if (!context.Response.Headers.ContainsKey(header.Key))
        {
            context.Response.Headers.TryAdd(header.Key, header.Value.ToArray());
        }
    }

    // 单独处理Set-Cookie，确保所有Cookie都被追加
    if (responseMessage.Headers.TryGetValues("Set-Cookie", out var setCookies))
    {
        foreach (var cookieStr in setCookies)
        {
            // 可选：调整Cookie的Domain/Path以匹配代理域名
            var setCookie = SetCookieHeaderValue.Parse(cookieStr);
            setCookie.Domain = "localhost"; // 替换成你的代理域名
            setCookie.Path = "/";
            setCookie.HttpOnly = true;
            setCookie.Secure = context.Request.IsHttps;

            context.Response.Headers.Append("Set-Cookie", setCookie.ToString());
        }
    }
}

3. 额外注意：区分代理Session和目标服务Session #

你代码里的context.Request.Cookies["ASP.NET_SessionId"]拿到的是代理自身的Session ID，不是目标服务的。如果需要获取目标服务的Session ID，要从响应的Cookie集合里提取：

var targetSessionCookie = responseCookies.FirstOrDefault(c => c.Name == "ASP.NET_SessionId");
if (targetSessionCookie != null)
{
    // 可以把目标Session ID存在代理的Session里，或者直接转发给浏览器
    context.Session.SetString("TargetServiceSessionId", targetSessionCookie.Value);
}

内容的提问来源于stack exchange，提问作者anu