Teams插件中Cookie无法获取问题求助及代码排查

问题描述 #

我在ASP.NET的HttpGet Create方法中定义了多组不同Domain的Cookie（包括localhost、teams.microsoft.com、ngrok域名等），启动ngrok的命令为ngrok http https://localhost:44347 -host-header="localhost:44347"。但触发HttpPost Create方法时，Request.Cookies为空；同时在https://teams.microsoft.com/站点下Cookie也为空，只有ngrok站点能正常获取Cookie，求解决方法。

HttpGet Create方法代码 #

public ActionResult Create()
{
    CookieOptions localcookie = new CookieOptions();
    localcookie.Expires = DateTime.Now.AddYears(1);
    localcookie.HttpOnly = true;
    localcookie.SameSite = SameSiteMode.None;
    localcookie.Domain= "https://localhost:44328";
    Response.Cookies.Append("username", "mehmetlocal", localcookie);
    Response.Cookies.Append("password", "deytek123*", localcookie);
    /////////////////////////////////////////////////////////////////
    CookieOptions defaulCookie = new CookieOptions();
    defaulCookie.Expires = DateTime.Now.AddYears(1);
    defaulCookie.HttpOnly = true;
    defaulCookie.SameSite = SameSiteMode.None; 
    Response.Cookies.Append("username", "mehmetdefault", defaulCookie);
    Response.Cookies.Append("password", "123*", defaulCookie);
    ////////////////////////////////////////////////////////////////
    CookieOptions teamsCookie = new CookieOptions();
    teamsCookie.Expires = DateTime.Now.AddYears(1);
    teamsCookie.HttpOnly = true;
    teamsCookie.SameSite = SameSiteMode.None;
    teamsCookie.Domain= "https://teams.microsoft.com/";
    Response.Cookies.Append("username", "mehmethttpsteams", teamsCookie);
    Response.Cookies.Append("password", "123*", teamsCookie);
    ////////////////////////////////////////////////////////////////
    CookieOptions teamsCookie1 = new CookieOptions();
    teamsCookie1.Expires = DateTime.Now.AddYears(1);
    teamsCookie1.HttpOnly = true;
    teamsCookie1.SameSite = SameSiteMode.None;
    teamsCookie1.Domain = "teams.microsoft.com";
    Response.Cookies.Append("username", "mehmetteam1", teamsCookie1);
    Response.Cookies.Append("password", "123*", teamsCookie1);
    //////////////////////////////////////////////////////////////
    CookieOptions ngRok = new CookieOptions();
    ngRok.Expires = DateTime.Now.AddYears(1);
    ngRok.HttpOnly = true;
    ngRok.SameSite = SameSiteMode.None;
    ngRok.Domain = "https://da98-88-250-230-175.ngrok.io";
    Response.Cookies.Append("username", "mehmetngrok", ngRok);
    Response.Cookies.Append("password", "123*", ngRok); 
    /////////////////////////////////////
    CookieOptions ngRok1 = new CookieOptions();
    ngRok1.Expires = DateTime.Now.AddYears(1);
    ngRok1.HttpOnly = true;
    ngRok1.SameSite = SameSiteMode.None;
    ngRok1.Domain = "da98-88-250-230-175.ngrok.io";
    Response.Cookies.Append("username", "mehmetngrokv2", ngRok1);
    Response.Cookies.Append("password", "123*", ngRok1);
    return View();
}

HttpPost Create方法代码 #

[HttpPost]
// [ValidateAntiForgeryToken]
public ActionResult Create(User user)
{
    string username = Request.Cookies["username"];
    string password = Request.Cookies["password"];
    string test = Request.Cookies["test"];

    try
    {
        return View(user);
    }
    catch
    {
        return View();
    }
}

问题原因与解决办法 #

1. Cookie Domain属性格式错误 #

Cookie的Domain属性仅支持纯域名（不含协议、端口、斜杠），错误格式会导致浏览器无法识别：

• 错误写法：localcookie.Domain= "https://localhost:44328";
• 正确写法：localcookie.Domain= "localhost";
• 同理，teams.microsoft.com的Domain填teams.microsoft.com，ngrok域名填da98-88-250-230-175.ngrok.io即可。

2. SameSite=None必须搭配Secure属性 #

当设置SameSite = SameSiteMode.None时，必须同时开启Secure = true，否则浏览器会拒绝保存Cookie（仅在HTTPS环境下生效）：

localcookie.Secure = true;
teamsCookie.Secure = true;
ngRok.Secure = true;
// 所有SameSite=None的Cookie都需要添加此配置

3. 第三方域名Cookie的同源限制 #

浏览器遵循同源策略，无法直接从localhost或ngrok站点给teams.microsoft.com设置Cookie：

• 只有当请求来自teams.microsoft.com域名下的页面，且你的ASP.NET服务已配置CORS允许该域名跨域访问时，才能成功设置对应域名的Cookie。直接跨域设置第三方域名Cookie会被浏览器安全机制拦截。

4. localhost端口不匹配问题 #

如果Post请求发起自localhost:44347，但Cookie设置的Domain是localhost:44328，不同端口属于不同源，Cookie不会被携带。解决方式：

• 将Cookie的Domain设为localhost（不指定端口时，浏览器会匹配同一域名下的所有端口）；
• 确保请求的端口与Cookie设置的端口一致。

5. Cookie名称冲突覆盖 #

你多次使用相同的username、password名称设置Cookie，浏览器会自动覆盖之前的Cookie，最终仅保留最后设置的一组。建议给不同域名的Cookie设置唯一名称，比如username_local、username_teams，避免冲突。

内容的提问来源于stack exchange，提问作者Mehmet Ceylan