ASP.NET OWIN Cookie认证ExpireTimeSpan未生效问题咨询

你遇到的问题是OWIN(Katana) Cookie认证的默认机制和配置遗漏共同导致的，和Auth0集成逻辑无关：

现象说明 #

• 浏览器显示认证Cookie过期时间为Session是正常表现：OWIN Cookie中间件默认不会把票据过期时间明文写在Cookie的Expires属性上，过期时间存储在加密后的认证票据(AuthTicket)内部，浏览器读取不到明文过期标识，就会默认将其识别为会话级Cookie，这个表现和票据本身是否会过期没有关联。
• 等待1分钟仍能访问受保护页面、Cookie值无变化的核心原因是你配置的ExpireTimeSpan根本没有生效，过期校验逻辑没有按预期执行。

核心配置问题与修复 #

1. 全局ExpireTimeSpan默认仅对持久化Cookie生效
   OWIN Cookie中间件的全局ExpireTimeSpan配置，默认只会在签发持久化Cookie（即登录时AuthenticationProperties.IsPersistent = true）时作为默认票据过期时间使用。如果是默认的非持久化会话场景，中间件会默认给票据分配匹配浏览器会话生命周期的过期时间，直接覆盖你设置的10秒过期值。
   修复方式：显式在登录签发票据的环节强制应用全局过期时间，在CookieAuthenticationOptions中添加如下配置：

   // 其他原有配置保持不变
   SlidingExpiration = false, // 如果需要固定绝对过期、不需要自动续期就加这行，要滑动续期就保留默认true
   Provider = new CookieAuthenticationProvider
   {
       OnResponseSignIn = context =>
       {
           // 强制所有场景下签发的票据都使用全局配置的过期时长
           context.Properties.ExpiresUtc = DateTimeOffset.UtcNow.Add(context.Options.ExpireTimeSpan);
       }
   }
   

2. System.Web表单认证与OWIN管道冲突
   如果你的Web.config中没有显式关闭System.Web自带的表单认证，IIS会在请求管道早期用表单认证模块解析Cookie、加载用户身份，直接跳过OWIN中间件的票据过期校验逻辑，不管你设置多短的过期时间都不会生效，也不会触发Cookie重签，所以你会观察到Cookie值一直不变。
   修复方式：在Web.config的<system.web>节点下显式关闭默认表单认证：

   <system.web>
     <authentication mode="None" />
     <!-- 其他原有配置 -->
   </system.web>
   

3. 可选配置：如果需要浏览器端也显示Cookie的明确过期时间而非Session，可以在CookieAuthenticationOptions中添加配置给Cookie本身设置有效期：

   CookieMaxAge = TimeSpan.FromSeconds(10)
   

   注意这个配置只是给浏览器端的Cookie标识，真正的权限校验还是以加密票据内存储的过期时间为准。

内容的提问来源于stack exchange，提问作者lclankyo