ASP.NET Identity 如何添加第二枚认证Cookie并配置多认证处理程序

问题原因 #

你之前调用services.AddAuthentication("CookieBearer")时，将自定义的CookieBearer设为了全局默认认证方案，覆盖了ASP.NET Identity默认的Identity.Application认证方案，因此系统只会执行你自定义的Handler，忽略了Identity自带的Cookie认证逻辑。

ASP.NET Core完全支持同时注册多个AuthenticationHandler，只需要正确配置认证方案和验证策略即可实现你要的降级逻辑。

正确配置步骤 #

1. 注册多认证方案 #

保留原有Identity配置，修改认证服务注册逻辑，显式指定Identity自带方案为默认，再追加自定义的SubCookie认证方案：

// 原有Identity配置不变
services.AddDefaultIdentity<ApplicationUser>(options => options.SignIn.RequireConfirmedAccount = true)
    .AddEntityFrameworkStores<ApplicationDbContext>()
    .AddSignInManager<AuthSignInManager<ApplicationUser>>();

services.ConfigureApplicationCookie(options =>
{
    options.Cookie.SameSite = Microsoft.AspNetCore.Http.SameSiteMode.Strict;
    options.CookieManager = new CookieManager();
});

// 新增认证服务配置
services.AddAuthentication(options =>
{
    // 显式指定默认用Identity自带的Cookie认证，保证原有业务逻辑不受影响
    options.DefaultAuthenticateScheme = IdentityConstants.ApplicationScheme;
    options.DefaultChallengeScheme = IdentityConstants.ApplicationScheme;
})
// 注册自定义的SubCookie验证方案
.AddScheme<BasicAuthenticationOptions, BasicAuthenticationHandler>("SubCookieAuth", o => {});

2. 配置多方案验证策略 #

有两种方式实现「先验证Identity Cookie，失败再验证SubCookie」的降级逻辑：

• 局部生效：在需要支持降级验证的控制器/Action上，通过[Authorize]特性指定同时启用两个认证方案：

  [Authorize(AuthenticationSchemes = $"{IdentityConstants.ApplicationScheme},SubCookieAuth")]
  public class YourController : ControllerBase
  {
      // 业务接口
  }
  

• 全局生效：修改授权默认策略，所有需要认证的接口都会自动走双方案验证：

  services.AddAuthorization(options =>
  {
      options.DefaultPolicy = new AuthorizationPolicyBuilder(
          IdentityConstants.ApplicationScheme, 
          "SubCookieAuth")
          .RequireAuthenticatedUser()
          .Build();
  });
  

多方案验证的逻辑为：依次执行所有指定的认证Handler，只要任意一个Handler验证通过，用户就会被标记为已认证，刚好符合你要的降级需求。

注意事项 #

• 自定义BasicAuthenticationHandler中验证SubCookie通过后，构建ClaimsPrincipal时尽量和Identity自带的Claim结构保持一致，避免后续业务逻辑报错
• SubCookie的属性要配置正确的父级Domain、HttpOnly=true、Secure=true，保证子域名可访问的同时避免安全风险

内容的提问来源于stack exchange，提问作者Jan