ASP.NET Controller从Blazor调用时Cookie追加不生效问题

安全阿岳

2026-8-27

问题核心原因

你踩了三个ASP.NET Core跨域Cookie的常见坑，和Blazor本身逻辑无关：

无效排查误导：Response.Cookies.Append是写入响应头的Set-Cookie字段，当前请求上下文里的Request.Cookies是客户端本次请求携带的Cookie集合，不可能读到刚写入的值，你在Login接口里打Request.Cookies.Count的日志完全没有参考价值，反而会误导排查方向。
CORS配置/顺序错误：哪怕你写了CORS策略，只要中间件顺序不对（比如放在UseRouting/MapControllers之后），CORS规则根本不会生效，会直接拦截Set-Cookie响应头，导致前端拿不到写Cookie的指令。
SameSite规则不匹配：你的Blazor页（HTTP 5196端口）和接口（HTTPS 7139端口）属于协议+端口都不同的跨源场景，Blazor里用HttpClient发的是异步XHR/fetch请求，你设置的SameSite=Lax规则会直接被浏览器拦截跨源异步请求的Set-Cookie操作，哪怕后端写了头，浏览器也会直接丢弃不会存储。
混合内容拦截：HTTP页面请求HTTPS接口属于混合内容场景，部分版本的Chrome/Edge会默认拦截HTTPS响应中给HTTP源写入Cookie的操作。

分步修复方案

以下配置UAT测试阶段可用，正式环境全链路HTTPS下无需调整即可兼容：

首先修正CORS中间件顺序，这是最容易漏的点。Program.cs里的中间件必须严格按以下顺序排列，CORS要放在路由、鉴权、控制器映射之前：

var app = builder.Build();
// CORS必须放在最前面
app.UseCors("CookiePolicy");
app.UseHttpsRedirection();
app.UseRouting();
app.UseAuthorization();
app.MapControllers();
app.Run();

调整Cookie写入规则，适配跨源异步请求场景：

CookieOptions cookieOptions = new CookieOptions();
cookieOptions.IsEssential = true;
// 跨源异步请求必须设置SameSite=None，浏览器才会接受Set-Cookie指令
cookieOptions.SameSite = SameSiteMode.None;
// localhost是浏览器白名单地址，Secure=true不会影响HTTP调试环境存储Cookie，正式环境全HTTPS也符合规范
cookieOptions.Secure = true;
// 显式设置根路径，避免非根路径下写入的Cookie其他接口读不到
cookieOptions.Path = "/";
Response.Cookies.Append("bearer", basicauth, cookieOptions);

确认Blazor端请求配置：所有发往接口的请求必须开启凭据携带，Blazor WASM下注册HttpClient时直接配置默认开启即可：

builder.Services.AddScoped(sp => new HttpClient 
{ 
    BaseAddress = new Uri("https://localhost:7139/"),
    DefaultRequestVersion = HttpVersion.Version20
}.ConfigurePrimaryHttpMessageHandler(() => new HttpClientHandler
{
    UseCookies = true,
    UseDefaultCredentials = true
}));

清理浏览器缓存干扰：打开浏览器F12-应用面板，删除localhost域下所有名称为bearer的旧Cookie，避免历史无效Cookie影响判断。
规避混合内容拦截：最稳妥的调试方式是把Blazor调试地址切到HTTPS端口（就是你CORS里配的https://localhost:7139对应的前端调试地址），保证前后端同协议，从根源避免混合内容拦截。如果暂时不想换HTTPS，可临时在Chrome/Edge的本地flags配置页把私有网络请求拦截规则设为允许，仅本地调试用即可。

验证方式

不要在后端打Request.Cookies的日志判断Cookie是否写入成功，直接打开F12-网络面板，找到Login接口的响应，看响应头里是否存在Set-Cookie: bearer=xxx字段，同时看应用面板-Cookie下对应域名下是否存在该Cookie即可。后续调用ValidateCookie接口时，看请求头里是否自动带了Cookie字段，就能判断是否生效。

内容的提问来源于stack exchange，提问作者midramble