ASP.NET Core中如何将JWT令牌写入Cookie替换默认认证内容

问题1：浏览器中看到的认证Cookie为乱序字符，是否经过加密？ #

是经过加密的。
默认调用HttpContext.SignInAsync生成的认证Cookie不会存储明文内容：ASP.NET Core 会将包含用户身份、声明信息的认证票据通过内置数据保护模块加密，附加防篡改签名后再做编码，最终写入Cookie。浏览器中看到的乱序字符就是加密编码后的结果，客户端无法直接解密读取内部内容，若Cookie内容被篡改，服务端签名校验会直接失败，判定认证无效。

问题2：是否支持配置HttpContext.SignInAsync将自行生成的JWT写入Cookie，无需在响应中直接返回JWT？ #

支持相关实现，不需要将JWT直接放在响应体返回，有两种常用方案：

• 基于Cookie认证事件自定义写入逻辑：配置Cookie认证的回调事件，在OnSigningIn触发时，替换默认要写入Cookie的内容，改为你自行生成的JWT字符串即可。后续请求进入时，在OnValidatePrincipal事件中读取Cookie存储的JWT，完成合法性校验后构建用户身份主体。
• 手动操作响应Cookie：不依赖HttpContext.SignInAsync的默认票据生成逻辑，用户凭证校验通过、生成JWT后，直接调用响应的Cookie写入接口，将JWT写入指定名称的Cookie中，同时配置好HttpOnly、Secure、SameSite等安全属性即可。后续请求直接从请求Cookie中读取JWT，走标准JWT校验流程，这种方式灵活度更高，不需要适配默认Cookie认证的票据格式。

内容的提问来源于stack exchange，提问作者variable