ASP.NET Core MVC认证超时自动重定向及Cookie差异问询

一、实现页面闲置超时自动重定向至登录页 #

你当前的认证Cookie配置是服务器端被动验证逻辑——只有当用户触发带[Authorize]特性的操作时，服务器才会检查Cookie状态并执行跳转。要实现页面闲置时自动触发登录重定向，得借助前端JavaScript来监控用户活动，毕竟HTTP是无状态协议，服务器没法主动通知前端Cookie过期。

具体实现步骤： #

1. 同步前后端超时时间：你后端设置了ExpireTimeSpan = new TimeSpan(0, 1, 0)（1分钟），前端计时器建议设为稍短的时间（比如55秒），提前触发跳转，避免用户刚好在Cookie过期瞬间操作出现异常。
2. 添加全局闲置监控脚本：在你的布局页面（比如_Layout.cshtml）中嵌入以下代码，监听鼠标移动、键盘输入等用户行为，重置超时计时器；一旦超时就直接跳转到登录页。

<script>
    // 超时时间（毫秒），比后端配置短5秒，避免冲突
    const idleTimeoutMs = 55 * 1000;
    let timeoutTimer;

    // 重置超时计时器
    function resetIdleTimer() {
        clearTimeout(timeoutTimer);
        timeoutTimer = setTimeout(redirectToLogin, idleTimeoutMs);
    }

    // 超时后执行登录页跳转
    function redirectToLogin() {
        window.location.href = '/Authentication';
    }

    // 监听所有用户活动事件
    document.addEventListener('mousemove', resetIdleTimer);
    document.addEventListener('keydown', resetIdleTimer);
    document.addEventListener('scroll', resetIdleTimer);
    document.addEventListener('click', resetIdleTimer);

    // 页面加载时启动计时器
    resetIdleTimer();
</script>

额外注意点： #

• 如果某些页面不需要闲置超时（比如后台长任务页面），可以给这些页面加个自定义标识，在JS里判断后跳过监控逻辑。
• 你当前设置了SlidingExpiration = false，认证Cookie过期时间是固定的，所以前端不需要额外处理动态刷新计时器的逻辑；如果后续开启滑动过期，记得在用户每次操作时同步重置前端计时器。

二、会话Cookie与认证Cookie的差异 #

这两种Cookie在ASP.NET Core中承担完全不同的角色，核心区别如下：

1. 核心用途与作用 #

• 认证Cookie：专门用于身份验证，存储加密后的用户认证票据（包含用户ID、角色、权限等Claims信息）。服务器通过这个Cookie直接判断用户是否已登录、拥有哪些权限，对应你配置的CookieAuthenticationDefaults.AuthenticationScheme，默认Cookie键是.AspNetCore.Cookies。
• 会话Cookie：用于维护用户的会话状态，仅存储服务器端Session的唯一标识（Session ID）。服务器通过这个ID找到对应的Session存储（内存、Redis等），进而获取会话期间的临时数据（比如购物车内容、表单临时输入），默认Cookie键是.AspNetCore.Session。

2. 生命周期 #

• 认证Cookie：可以通过ExpireTimeSpan设置固定过期时间，也可通过SlidingExpiration开启滑动过期（用户操作时自动刷新过期时间）；只要Cookie未过期，即使关闭浏览器再打开，用户仍会保持登录状态（除非浏览器清理Cookie）。
• 会话Cookie：默认是会话级，关闭浏览器后自动失效；虽然可以通过session.IdleTimeout设置服务器端Session的闲置过期时间，但Cookie本身不会在浏览器中持久存储。

3. 存储内容与位置 #

• 认证Cookie：内容是加密的用户身份信息，直接存储在浏览器中，服务器可直接解析，无需依赖额外的服务器存储。
• 会话Cookie：仅存储简短的Session ID，实际会话数据存储在服务器端（默认内存，生产环境建议用分布式缓存），浏览器只负责在请求时传递这个ID。

4. 使用场景 #

• 认证Cookie：配合[Authorize]特性，用于登录状态维持、权限验证。
• 会话Cookie：用于保存用户单次会话中的临时状态，比如跨页面传递非敏感数据、临时表单草稿等。

内容的提问来源于stack exchange，提问作者Kevin Pinero