ASP.NET Core子域名环境jQuery Ajax请求ValidateAntiForgeryToken验证400错误怎么解决

核心问题排查与解决步骤 #

本地运行正常、子域名生产环境返回400防伪验证错误，绝大多数是Cookie域、反向代理头透传、安全策略配置错误导致，按以下顺序排查修正：

1. 修正防伪令牌配置错误

你当前配置存在明显语法错误：误将Cookie域名赋值给了Cookie名称属性，这是导致验证失败的最直接原因：
原错误配置：

services.AddAntiforgery(options =>
{
    options.HeaderName = "__RequestVerificationToken"; 
    options.Cookie.Name = Configuration["domain"]; // 这里错误，Name是Cookie的键名，不是域名
});

修正后配置示例：

services.AddAntiforgery(options =>
{
    options.HeaderName = "__RequestVerificationToken"; 
    // 配置Cookie所属域名，前面加.适配所有子域名，比如值为".yourdomain.com"
    options.Cookie.Domain = Configuration["domain"];
    // 自定义Cookie名可选，不要和域名配置混淆
    options.Cookie.Name = "AntiforgeryCookie";
    // 生产环境HTTPS下必须开启安全策略
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
    // 同根域名下使用Lax即可满足需求
    options.Cookie.SameSite = SameSiteMode.Lax;
});

2. 配置反向代理头透传

生产环境如果使用Nginx、IIS等反向代理部署，必须配置转发头，否则ASP.NET Core无法获取真实的请求域名和协议，会判定防伪令牌不匹配：

• 在ConfigureServices中添加配置：

services.Configure<ForwardedHeadersOptions>(options =>
{
    options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto;
    // 生产环境建议配置为你实际使用的反向代理IP，测试阶段可清空允许所有
    options.KnownProxies.Clear();
    options.KnownNetworks.Clear();
});

• 在Configure方法最开头（早于UseRouting、UseAuthentication等中间件）添加：

app.UseForwardedHeaders();

3. 辅助验证操作

修改后部署验证：

• 打开浏览器调试工具>Application>Cookies，确认防伪Cookie已写入，Domain属性与当前站点域名匹配，Secure、SameSite属性符合配置
• 确认前端请求头中的__RequestVerificationToken值与当前页面生成的令牌一致，没有复用其他域名下的令牌

内容的提问来源于stack exchange，提问作者Zhou Wei