Blazor Server中CookiePolicyOptions干扰本地化Cookie的解决方案咨询

我有一个Blazor Server应用，配置了如下CookiePolicyOptions：

services.Configure<CookiePolicyOptions>(options =>
{
    options.CheckConsentNeeded = context => true;
    options.MinimumSameSitePolicy = SameSiteMode.None;
});

同时按照官方文档实现了Cookie本地化，但使用上述配置时，本地化Cookie无法创建。若将配置修改为（或完全移除）：

services.Configure<CookiePolicyOptions>(options =>
{
    options.MinimumSameSitePolicy = SameSiteMode.Unspecified;
});

本地化Cookie可正常创建且功能符合预期，说明原配置干扰了本地化Cookie。现需解决方案/变通方法，既能保留原需用户同意的Cookie策略，又能使本地化Cookie正常工作。

核心原因是：当CheckConsentNeeded = true时，ASP.NET Core会默认阻止所有非必要Cookie的创建，必须获得用户同意才能写入。而默认的本地化Cookie未被标记为必要Cookie，因此被拦截。以下是两种可行方案：

方案一：将本地化Cookie标记为必要Cookie #

在配置请求本地化选项时，显式将本地化Cookie的IsEssential属性设为true，这样即使未获得用户同意，系统也会允许创建该Cookie（因为它属于支撑应用核心功能的必要Cookie）。

代码示例：

services.Configure<RequestLocalizationOptions>(options =>
{
    // 配置支持的文化列表
    var supportedCultures = new[]
    {
        new CultureInfo("en-US"),
        new CultureInfo("zh-CN")
        // 添加其他需要支持的文化
    };

    options.DefaultRequestCulture = new RequestCulture("en-US");
    options.SupportedCultures = supportedCultures;
    options.SupportedUICultures = supportedCultures;

    // 替换默认的Cookie文化提供器，标记Cookie为必要
    options.RequestCultureProviders.Insert(0, new CookieRequestCultureProvider
    {
        CookieName = CookieRequestCultureProvider.DefaultCookieName,
        Options = new CookieOptions
        {
            IsEssential = true, // 关键配置：标记为必要Cookie
            SameSite = SameSiteMode.None,
            Secure = true // 若部署在HTTPS环境下必须设置，SameSite.None要求Cookie为Secure
        }
    });
});

方案二：豁免本地化相关请求的同意检查 #

调整CookiePolicyOptions的CheckConsentNeeded逻辑，对涉及本地化Cookie的请求跳过同意检查。比如判断请求是否是设置文化的端点，或是否已存在本地化Cookie：

代码示例：

services.Configure<CookiePolicyOptions>(options =>
{
    options.CheckConsentNeeded = context =>
    {
        // 假设你的文化设置端点路径为"/set-culture"，可根据实际情况修改
        var isCultureSetupRequest = context.Request.Path.StartsWithSegments("/set-culture");
        // 检查请求中是否已存在本地化Cookie
        var hasCultureCookie = context.Request.Cookies.ContainsKey(CookieRequestCultureProvider.DefaultCookieName);
        
        // 仅当不是文化设置请求且无本地化Cookie时，才要求用户同意
        return !isCultureSetupRequest && !hasCultureCookie;
    };
    options.MinimumSameSitePolicy = SameSiteMode.None;
});

• 使用SameSiteMode.None时，务必确保Cookie的Secure属性设为true（仅HTTPS环境有效），否则浏览器会拒绝存储该Cookie。
• 必要Cookie的定义是“支撑应用核心功能的Cookie”，本地化Cookie符合这一范畴，因此标记为必要Cookie是合规的。

内容的提问来源于stack exchange，提问作者Ivan-Mark Debono