ASP.NET 4.X应用共享认证Cookie后仍需二次登录的问题排查

你现在的配置只统一了Cookie名称和域名，但ASP.NET 4.X的Cookie认证明白不？它的加密解密全靠机器密钥（Machine Key），俩应用必须用一模一样的密钥，才能解析彼此生成的Cookie，这是你漏的核心点。

得补上这些配置： #

1. 统一机器密钥 #

在两个应用的Web.config里，<system.web>节点下添加完全相同的<machineKey>配置：

<system.web>
  <machineKey 
    validationKey="生成的验证密钥" 
    decryptionKey="生成的解密密钥" 
    validation="SHA1" 
    decryption="AES" />
  <!-- 其他原有配置 -->
</system.web>

• 密钥可以用aspnet_regiis.exe工具生成，命令是aspnet_regiis.exe -pc "MyAppKeys" -exp，也能找靠谱的在线生成工具（记住密钥要保密，别随便泄露）；
• 俩应用的validationKey、decryptionKey、validation、decryption参数必须完全一致，一个字符都不能差。

2. 确认认证类型完全一致 #

虽然你已经设了AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie，但得确保俩应用里这个值完全一样，大小写也不能错（默认就是ApplicationCookie，别瞎改）。

3. 检查Cookie路径和SameSite属性 #

• 默认路径是/，如果你的应用根路径不一样，得统一设置CookiePath = "/"；
• 现在浏览器对SameSite策略管得严，建议显式设置SameSite = SameSiteMode.Lax（要是用HTTPS也能设None），避免浏览器拦着Cookie跨子域传递：

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    CookieName = "MySharedCookieName",
    CookieDomain = ".mydomain.com",
    CookiePath = "/",
    SameSite = SameSiteMode.Lax, // 用HTTPS的话也可以设SameSiteMode.None
    AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
    ExpireTimeSpan = TimeSpan.FromMinutes(120),
    LoginPath = new PathString("/Account/Login")
});

4. 登录逻辑要对齐 #

俩应用的登录逻辑都得用ApplicationCookie类型生成认证票据，比如登录成功后这么写：

var identity = new ClaimsIdentity(DefaultAuthenticationTypes.ApplicationCookie);
// 按需添加Claims
AuthenticationManager.SignIn(new AuthenticationProperties { IsPersistent = false }, identity);

别一个用了别的认证类型，导致票据不兼容。

验证步骤 #

1. 配置完重启俩应用；
2. 在subdomain1登录后，去subdomain2看看能不能直接访问；
3. 要是还不行，就开ASP.NET的认证日志，看看是不是解密失败了（在Web.config里加日志配置就行）。

内容的提问来源于stack exchange，提问作者Dev 404