Vue.js+ASP.NET Core JWT认证前端无法获取已登录用户问题

出现401的核心原因是跨站Cookie配置不符合浏览器安全规则，虽然你能在浏览器应用面板看到jwt Cookie，但跨域请求时浏览器不会将该Cookie携带到请求头，后端读不到JWT令牌就会返回未授权：

• 当Cookie设置SameSite=None允许跨站发送时，现代浏览器强制要求同时开启Secure=true标记，仅允许HTTPS环境下传输该Cookie，你当前的Cookie配置缺失这个属性，正好对应控制台抛出的两条警告。
• 若后端未配置允许跨域携带凭证的CORS策略，即使Cookie配置正确，请求也会被浏览器拦截。

1. 修正后端Cookie写入配置 #

修改Auth控制器Login方法中追加Cookie的代码，补充必填的Secure属性，同时建议开启HttpOnly降低XSS攻击风险：

Response.Cookies.Append(key: "jwt", value: jwt, new Microsoft.AspNetCore.Http.CookieOptions
{
    HttpOnly = true,
    SameSite = Microsoft.AspNetCore.Http.SameSiteMode.None,
    Secure = true, // 核心修复项：SameSite=None必须配合Secure标记
    Path = "/",
    Expires = DateTimeOffset.UtcNow.AddHours(2) // 按需设置Cookie有效期
});

本地开发请确保后端使用HTTPS地址访问（你当前用的https://localhost:44391符合要求），HTTP环境下Secure标记的Cookie不会生效。

2. 配置后端CORS策略支持跨域凭证 #

在ASP.NET Core服务配置中添加CORS策略，注意允许凭证时不能使用通配符*配置允许源，必须明确指定前端访问地址：

// Program.cs中添加服务配置
builder.Services.AddCors(options =>
{
    options.AddPolicy("FrontendAllow", policy =>
    {
        policy.WithOrigins("替换为你的前端访问地址，例如https://localhost:5173")
              .AllowAnyHeader()
              .AllowAnyMethod()
              .AllowCredentials(); // 允许跨域请求携带Cookie
    });
});

// 中间件管道中在路由、授权中间件前启用CORS
app.UseCors("FrontendAllow");

3. 前端配置无需调整 #

你当前两处fetch请求都已经添加了credentials: 'include'配置，符合跨域携带Cookie的要求，不需要修改代码。

• 先清除浏览器中当前域名下存储的旧jwt Cookie，避免无效配置的Cookie干扰测试
• 重新执行登录流程，调用/User接口时打开浏览器开发者工具的网络面板，检查请求头中是否携带Cookie: jwt=xxx字段
• 正常携带Cookie后，后端即可读取到令牌完成校验，返回200状态码和对应用户信息。

内容的提问来源于stack exchange，提问作者Nesrine Missaoui