ASP Core Identity生产环境部署后浏览器未设置认证Cookie问题

两个异常现象（生产环境触发OPTIONS预检、响应携带Set-Cookie但浏览器不存储）本质是跨域配置缺失、IIS默认拦截预检请求共同导致，按以下顺序修复：

• 跨域规则配置修正
  本地开发时，浏览器默认将不同端口的localhost判定为同源，因此不会触发CORS预检校验；生产环境下哪怕前后端部署在同一台服务器，只要二者端口、子域名、访问域名任意一项不一致，就属于跨域请求。你当前将Cookie的SameSite设置为None本身是适配跨域Cookie场景的，但ASP.NET Core默认CORS配置不允许跨域请求携带凭证，必须显式开启：

  注意：允许跨域携带凭证时，不能使用*通配符配置允许源，必须填写前端生产环境的完整HTTPS地址，否则配置不生效。
  正确CORS配置代码如下，注意中间件顺序必须放在认证、授权逻辑之前：

  // Program.cs 服务注册阶段
  builder.Services.AddCors(options =>
  {
      options.AddPolicy("FrontendCors", policy =>
      {
          policy.WithOrigins("前端生产环境完整访问地址，例如https://portal.yourdomain.com")
                .AllowAnyHeader()
                .AllowAnyMethod()
                .AllowCredentials(); // 核心配置，缺失时浏览器会直接拦截跨域响应中的Set-Cookie字段
      });
  });
  
  // 中间件管道配置
  app.UseHttpsRedirection();
  app.UseCors("FrontendCors"); // 必须放在UseRouting、UseAuthentication、UseAuthorization之前
  app.UseRouting();
  app.UseAuthentication();
  app.UseAuthorization();
  

• IIS OPTIONS请求拦截修复
  IIS默认会对未携带认证信息的OPTIONS请求直接返回401/403，不会将请求转发给ASP.NET Core应用处理，直接导致预检请求失败，后续Cookie写入、请求携带Cookie的逻辑全被浏览器拦截。需要在API项目的web.config中添加放行规则：

  <system.webServer>
    <handlers>
      <remove name="OPTIONSVerbHandler" />
      <add name="OPTIONSVerbHandler" path="*" verb="OPTIONS" modules="ProtocolSupportModule" resourceType="Unspecified" requireAccess="None" />
    </handlers>
    <security>
      <authorization>
        <add users="*" verbs="OPTIONS" access="Allow" />
      </authorization>
    </security>
  </system.webServer>
  

  配置完成后检查IIS的「请求筛选」设置，确认OPTIONS谓词没有被禁用。
• 前端请求配置修正
  跨域场景下，前端发起请求必须显式开启凭证携带配置，否则浏览器既不会存储响应返回的Cookie，也不会在后续请求中自动携带认证Cookie：
  • axios全局配置：

  axios.defaults.withCredentials = true
  

  • fetch请求配置：

  fetch(apiUrl, {
    credentials: 'include'
  })
  

• 额外校验项
  1. 检查Cookie的Domain配置：如果前后端为同根域名不同子域，需要显式设置config.Cookie.Domain = "yourdomain.com"（不要在域名前加.前缀，现代浏览器会自动适配子域匹配规则），Domain值和前端访问域名不匹配时浏览器会直接拒收Cookie。
  2. 打开浏览器开发者工具的控制台面板，浏览器拦截Cookie时会打印明确的拦截原因（例如Secure属性不满足、SameSite校验失败、Domain不匹配等），可直接根据提示精准定位问题。

内容的提问来源于stack exchange，提问作者dpa