.NET 6 MVC认证Cookie可跨设备复制，如何限制其仅在本地浏览器生效？

你的问题核心在于当前认证Cookie仅包含用户标识，未绑定设备/浏览器的唯一特征，导致Cookie被复制后可在任意设备上复用。以下是具体的防护方案：

1. 绑定设备指纹到认证Claims #

登录时生成当前设备的唯一标识（可通过浏览器UA、操作系统信息、IP等组合生成哈希值），将其作为Claim加入用户身份信息；每次请求验证时，检查请求中的设备标识与Cookie中的是否一致。

登录时添加设备指纹Claim #

修改登录代码，生成设备标识并添加到Claims列表：

// 生成设备指纹：可根据实际需求调整组合字段
var userAgent = _contextAccessor.HttpContext.Request.Headers["User-Agent"].ToString();
var ipAddress = _contextAccessor.HttpContext.Connection.RemoteIpAddress?.ToString() ?? "";
var deviceFingerprint = HashHelper.ComputeSha256Hash($"{userAgent}{ipAddress}");

var claims = new List<Claim>
{
    new Claim("UserMobile", mobile),
    new Claim("DeviceFingerprint", deviceFingerprint)
};
            
var claimsIdentity = new ClaimsIdentity(claims, CookieAuthenticationDefaults.AuthenticationScheme);
var authProperties = new AuthenticationProperties
{
    IsPersistent = true
};

await _contextAccessor.HttpContext.SignInAsync(CookieAuthenticationDefaults.AuthenticationScheme, 
                                         new ClaimsPrincipal(claimsIdentity), 
                                         authProperties);

辅助哈希方法示例：

public static class HashHelper
{
    public static string ComputeSha256Hash(string input)
    {
        using (SHA256 sha256Hash = SHA256.Create())
        {
            byte[] bytes = sha256Hash.ComputeHash(Encoding.UTF8.GetBytes(input));
            StringBuilder builder = new StringBuilder();
            for (int i = 0; i < bytes.Length; i++)
            {
                builder.Append(bytes[i].ToString("x2"));
            }
            return builder.ToString();
        }
    }
}

验证设备指纹 #

通过自定义授权策略验证设备标识：

// 注册授权策略
builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("DeviceValidated", policy =>
        policy.RequireAssertion(context =>
        {
            var user = context.User;
            if (!user.Identity.IsAuthenticated) return false;
            
            var storedFingerprint = user.FindFirstValue("DeviceFingerprint");
            if (string.IsNullOrEmpty(storedFingerprint)) return false;
            
            var currentContext = context.Resource as HttpContext ?? throw new InvalidOperationException();
            var userAgent = currentContext.Request.Headers["User-Agent"].ToString();
            var ipAddress = currentContext.Connection.RemoteIpAddress?.ToString() ?? "";
            var currentFingerprint = HashHelper.ComputeSha256Hash($"{userAgent}{ipAddress}");
            
            return storedFingerprint.Equals(currentFingerprint);
        }));
});

// 在需要验证的Controller或Action上添加[Authorize(Policy = "DeviceValidated")]

2. 强化Cookie安全配置 #

调整Cookie的安全属性，降低泄露风险：

builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        options.SlidingExpiration = true;
        options.Cookie.HttpOnly = true;
        options.Cookie.SameSite = SameSiteMode.Strict; // 改为Strict，限制跨站请求携带Cookie
        options.Cookie.Name = "sepsep";
        options.Cookie.IsEssential = true;
        options.Cookie.SecurePolicy = CookieSecurePolicy.Always; // 仅在HTTPS下传输，需确保网站启用HTTPS
        options.ExpireTimeSpan = TimeSpan.FromDays(7); // 缩短有效期，缩小泄露后的风险范围
        options.Cookie.Domain = "yourdomain.com"; // 限制Cookie仅在当前域名生效（替换为实际域名）
    });

3. 启用ASP.NET Core数据保护的本地隔离 #

默认情况下，ASP.NET Core的Data Protection系统会将加密密钥存储在本地，确保只有当前电脑能解密Cookie。如果是本地运行项目，此配置已默认生效；若部署到服务器，需确保密钥不跨环境共享，避免Cookie被其他环境解密。

4. 可选：添加双因素认证（2FA） #

对于高安全性场景，启用双因素认证，即使Cookie被复制，攻击者仍需额外验证因子（如验证码、硬件密钥）才能完成登录，进一步提升安全性。

内容的提问来源于stack exchange，提问作者Sepehr Estaki