ASP.NET Core 6 API配置Cookie认证时Cookie未存入浏览器问题

核心疑问答复 #

• 不能通过自定义响应头传递Cookie让浏览器自动存储，浏览器只会识别标准Set-Cookie响应头完成Cookie持久化，其他自定义头传递的Cookie内容浏览器不会自动写入存储，也不会在后续请求中自动携带。
• JS无法读取Set-Cookie响应头是浏览器的内置安全限制，属于正常行为，没有配置可以绕过这个限制。你当前配置了HttpOnly = true的Cookie本身也设计为不允许JS读取，目的是防范XSS攻击。

Cookie未被持久化的根因 #

你当前的配置存在5个直接导致Cookie不生效的问题：

1. 中间件顺序错误：ASP.NET Core中间件执行顺序严格按照代码编写顺序从上到下执行，你把UseCookiePolicy放在了UseAuthentication、UseAuthorization、UseRouting之后，Cookie策略根本没有作用到认证流程，且UseHttpsRedirection位置也不符合规范。
2. CORS配置无效：你用了AllowAnyOrigin()同时搭配SameSiteMode.None，现代浏览器会直接拒绝这种跨域Set-Cookie请求，且AllowAnyOrigin模式下跨域携带凭证本身就不被浏览器允许。
3. 开启了Cookie同意检查：你配置了CheckConsentNeeded = context => true，所有非必要Cookie必须用户手动同意后才会被存储，你没有给认证Cookie标记为必要Cookie，会被策略直接拦截。
4. 异步方法未等待：SignInAsync是异步方法，你没有加await调用，方法返回时响应可能已经开始发送，导致Set-Cookie头没有被正确写入响应。
5. Secure策略不匹配开发环境：本地开发如果用HTTP访问，你配置了Secure = CookieSecurePolicy.Always，浏览器会直接拒绝非HTTPS环境下的Secure Cookie。

修复步骤 #

1. 修正Program.cs的配置和中间件顺序 #

替换原有Program.cs代码为以下正确配置：

var builder = WebApplication.CreateBuilder(args);

builder.Services.AddControllers();
builder.Services.AddEndpointsApiExplorer();
builder.Services.AddSwaggerGen();
builder.Services.AddHttpContextAccessor();

// 配置Cookie策略
builder.Services.Configure<CookiePolicyOptions>(options =>
{
    // 关闭Cookie同意检查，必要Cookie无需用户手动同意即可存储
    options.CheckConsentNeeded = context => false;
    options.MinimumSameSitePolicy = SameSiteMode.Lax;
    // 开发环境适配HTTP请求，生产环境强制HTTPS
    options.Secure = builder.Environment.IsDevelopment() 
        ? CookieSecurePolicy.SameAsRequest 
        : CookieSecurePolicy.Always;
});

// 配置Cookie身份认证
builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(CookieAuthenticationDefaults.AuthenticationScheme, x =>
    {
        x.Cookie.Name = "mycookie";
        x.Cookie.HttpOnly = true;
        // 标记为必要Cookie，不受同意策略拦截
        x.Cookie.IsEssential = true;
        // 同域部署用Lax，跨域部署改为SameSiteMode.None（必须配合Secure=true使用）
        x.Cookie.SameSite = SameSiteMode.Lax;
        x.Cookie.SecurePolicy = builder.Environment.IsDevelopment()
            ? CookieSecurePolicy.SameAsRequest
            : CookieSecurePolicy.Always;
        // API场景下未登录返回401状态码，而非自动跳转登录页
        x.Events = new CookieAuthenticationEvents
        {
            OnRedirectToLogin = context =>
            {
                context.Response.StatusCode = 401;
                return Task.CompletedTask;
            }
        };
    });

// 修正CORS配置，禁止用AllowAnyOrigin搭配凭证传递
builder.Services.AddCors(options => options.AddPolicy("MyPolicy", build =>
{
    // 替换为你React前端的实际访问地址，例如http://localhost:3000
    build.WithOrigins("http://localhost:3000")
        .AllowAnyHeader()
        .AllowAnyMethod()
        // 必须开启AllowCredentials才能跨域传递、存储Cookie
        .AllowCredentials();
}));

var app = builder.Build();

if (app.Environment.IsDevelopment())
{
    app.UseDeveloperExceptionPage();
    app.UseSwagger();
}

// 严格按照顺序排列中间件，顺序错误会导致功能失效
app.UseHttpsRedirection();
app.UseStaticFiles();
app.UseRouting();
app.UseCors("MyPolicy");
// Cookie策略必须放在认证、授权中间件之前执行
app.UseCookiePolicy();
app.UseAuthentication();
app.UseAuthorization();

app.MapControllers();

app.Run();

2. 修正登录方法的异步调用 #

SignInAsync必须加await等待执行完成，否则会出现响应头写入不完整问题，修改后代码：

// 方法签名改为async Task，禁止用async void
public async Task Signin(UserViewModel user)
{
    var claims = new List<Claim>
    {
        new Claim("AccountId", user.Id.ToString()),
        new Claim(ClaimTypes.Name, user.Name),
    };

    var claimsIdentity = new ClaimsIdentity(claims, CookieAuthenticationDefaults.AuthenticationScheme);

    var authProperties = new AuthenticationProperties
    {
        IsPersistent = true, // 开启持久化，关闭浏览器后Cookie不会丢失
        ExpiresUtc = DateTimeOffset.UtcNow.AddDays(1)
    };

    // 等待异步登录操作完成
    await _contextAccessor.HttpContext.SignInAsync(
        CookieAuthenticationDefaults.AuthenticationScheme,
        new ClaimsPrincipal(claimsIdentity),
        authProperties);
}

3. 前端React请求配置 #

所有发往后端的请求必须开启携带凭证的配置，否则浏览器不会自动存储、携带Cookie：

• 用原生fetch请求时，添加配置项credentials: 'include'
• 用axios请求时，添加全局配置axios.defaults.withCredentials = true

注意：跨域场景下绝对不能用*作为允许源，必须明确指定前端域名，同时开启AllowCredentials，否则浏览器会直接拦截Cookie。

内容的提问来源于stack exchange，提问作者fq sof