.Net 5部署到IIS子应用时身份验证Cookie未保存问题求助

你遇到的问题本质是IIS子应用部署场景下，Cookie的默认配置与路径规则不匹配导致：
ASP.NET Core Cookie认证默认会自动将Cookie的Path属性设置为当前应用的PathBase，当你将应用作为IIS子站点部署时，PathBase会自动变为子应用的挂载路径（比如主站是http://test.com，子应用挂载在/api路径下，Cookie默认Path就为/api），如果你的前端访问路径、请求路径与Cookie的Path不匹配，浏览器就会拒绝保存该Cookie。而单独部署站点时PathBase为/，匹配所有路径，因此功能正常。

1. 显式配置Cookie属性 #

修改Startup.cs中AddCookie的配置，强制指定Cookie的作用路径、安全策略等参数：

services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(_ => 
    { 
        _.Cookie.Name = "_auth";
        // 全局生效适配所有路径场景，若需限制仅子应用生效可改为你的子应用挂载路径，如"/api"
        _.Cookie.Path = "/";
        // 非HTTPS部署场景必须设为None，否则Cookie仅在HTTPS请求下生效
        _.Cookie.SecurePolicy = CookieSecurePolicy.None;
        // 同域部署用Lax即可，跨域部署可改为SameSiteMode.None（注意SameSite=None必须配合SecurePolicy.Always使用，需要HTTPS）
        _.Cookie.SameSite = SameSiteMode.Lax;
        // 开启HttpOnly防止XSS攻击窃取Cookie，如无特殊需求保持开启即可
        _.Cookie.HttpOnly = true;
    });

2. 配置CORS规则（跨域场景必加） #

如果你的React应用与后端接口域名/端口不一致，必须配置CORS允许凭据传递：
首先在ConfigureServices中添加CORS配置：

services.AddCors(options =>
{
    options.AddPolicy("AllowFrontend", policy =>
    {
        // 替换为你的React应用实际访问地址，不要写*，否则允许凭据的配置不生效
        policy.WithOrigins("http://localhost:3000", "http://你的前端部署地址")
              .AllowAnyHeader()
              .AllowAnyMethod()
              .AllowCredentials(); // 必须开启，允许Cookie跨域传递
    });
});

然后在Configure方法中，将CORS中间件放在认证、授权中间件之前：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // ...其他中间件
    app.UseCors("AllowFrontend"); // 放在最前面，至少要在UseAuthentication、UseRouting之前
    app.UseRouting();
    app.UseAuthentication();
    app.UseAuthorization();
    // ...其他配置
}

3. 前端请求配置 #

前端调用接口时必须显式开启凭据传递：

• 若使用axios：全局配置axios.defaults.withCredentials = true，或者单个请求添加参数{ withCredentials: true }
• 若使用原生fetch：请求参数添加credentials: 'include'

4. 配置验证 #

配置完成后重新发布应用，在浏览器开发者工具的「网络」面板查看登录接口的响应头：

• 确认存在Set-Cookie响应头，里面的_authCookie参数符合你设置的规则
• 若Set-Cookie前有黄色警告标识，hover查看具体错误原因，针对性调整配置即可

内容的提问来源于stack exchange，提问作者SamDroid