Win10下VS2019开发ASP.NET Core 2.2时localhost无法设置Cookie怎么办

核心原因为ASP.NET Core 2.2版本对SameSite属性的默认配置逻辑，与现代浏览器（Chrome 80+、Edge、Firefox等）的Cookie安全策略不兼容，未显式配置SameSite的Cookie会被浏览器默认拦截，localhost开发场景下跨端口/跨协议请求时更容易触发该问题。

方案1：全局配置Cookie的SameSite规则（推荐） #

在项目Startup.cs文件中添加全局Cookie策略配置：

1. 在ConfigureServices方法中添加Cookie策略配置

public void ConfigureServices(IServiceCollection services)
{
    services.Configure<CookiePolicyOptions>(options =>
    {
        options.MinimumSameSitePolicy = SameSiteMode.Lax;
        options.OnAppendCookie = cookieContext =>
        {
            // 本地开发场景特殊适配
            if (cookieContext.Context.Request.Host.Host == "localhost")
            {
                // http调试场景使用Lax，https调试场景可按需改为None并开启Secure属性
                cookieContext.CookieOptions.SameSite = SameSiteMode.Lax;
            }
        };
    });
    // 其余原有服务配置保留
    services.AddMvc().SetCompatibilityVersion(CompatibilityVersion.Version_2_2);
}

2. 在Configure方法中启用CookiePolicy中间件，注意必须放在UseMvc、UseAuthentication等中间件之前：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    app.UseCookiePolicy();
    // 其余原有中间件配置保留
    app.UseMvc();
}

方案2：设置Cookie时单独指定SameSite属性 #

直接修改你现有设置Cookie的代码，显式声明SameSite属性即可：

var sessionId = new CookieHeaderValue("sessionid", session)
{ 
    Expires = DateTimeOffset.Now.AddMinutes(10),
    // http调试用Lax，https调试可设为None同时开启Secure属性
    SameSite = SameSiteMode.Lax
};
var sessionIp = new CookieHeaderValue("sessionIp", ipAddress)
{ 
    Expires = DateTimeOffset.Now.AddMinutes(10),
    SameSite = SameSiteMode.Lax
};
request.Method = "GET";
WebResponse response = (WebResponse)request.GetResponse();

额外排查点 #

• 打开浏览器控制台的「应用/Application」标签，查看Cookie存储栏，确认Cookie是否被标记为被拦截/blocked，悬浮在拦截标识上可查看具体拦截原因
• SameSiteMode.None必须搭配Secure = true使用，仅在https请求下生效，http场景下设置None会被浏览器直接拦截
• 可右键项目->属性->调试，勾选「启用SSL」，用https地址调试可规避大部分SameSite兼容问题

内容的提问来源于stack exchange，提问作者TedTakacs