同一服务器多虚拟目录部署同应用：防伪令牌无法解密

这个问题的核心原因是ASP.NET默认将同一根域名下的所有虚拟目录视为同一应用域，共享了防伪令牌的加密密钥与Cookie配置。以下是几种可行的配置方案：

方案1：为每个虚拟目录配置独立的防伪令牌Cookie路径 #

在对应应用的Global.asax.cs的Application_Start方法中，指定当前虚拟目录作为防伪令牌Cookie的路径：

// test目录应用的配置
AntiForgeryConfig.CookiePath = "/test";

// prod目录应用的配置
AntiForgeryConfig.CookiePath = "/prod";

通过不同的Cookie路径，让ASP.NET区分两个应用的防伪令牌Cookie，避免互相干扰。

方案2：为每个应用配置独立的加密密钥 #

在各应用的Web.config中，设置专属的machineKey，确保加密解密使用的密钥不共享：

<configuration>
  <system.web>
    <!-- test目录应用的密钥，prod目录需替换为完全不同的密钥 -->
    <machineKey validationKey="随机生成的唯一验证密钥" 
                decryptionKey="随机生成的唯一解密密钥" 
                validation="SHA1" decryption="AES"/>
  </system.web>
</configuration>

密钥可以通过Visual Studio的ASP.NET配置工具或随机密钥生成工具生成，保证两个应用的密钥完全独立。

方案3：使用OWIN独立数据保护容器（适用于MVC 5+） #

如果应用基于OWIN构建，可在Startup.cs中为每个虚拟目录的应用创建独立的数据保护上下文：

public void Configuration(IAppBuilder app)
{
    // test目录应用的配置，prod目录替换容器名称为"YourAppName-Prod"
    var dataProtectionProvider = new DpapiDataProtectionProvider("YourAppName-Test");
    AntiForgeryConfig.DataProtectionProvider = dataProtectionProvider;
}

通过不同的容器名称，隔离两个应用的数据保护上下文，确保防伪令牌加密逻辑独立。

额外注意事项 #

• 为避免登录Cookie冲突，需在各应用的Web.config中设置不同的表单验证Cookie名称：

<authentication mode="Forms">
  <forms name=".ASPXAUTH-Test" loginUrl="~/Account/Login" timeout="2880"/>
</authentication>

• 测试前清除浏览器缓存与Cookie，避免残留的旧Cookie引发异常。

内容的提问来源于stack exchange，提问作者Cătălin Rădoi