ASP.NET Core+Angular SPA使用Identity鉴权时客户端无法获取Cookie求助

你遇到的问题由跨域场景下Cookie传输的三个必要配置缺失导致，按以下步骤修改即可：

1. 修正CORS策略配置 #

你当前的CORS策略未开启凭证允许，跨域场景下浏览器会拦截Cookie的写入和携带。修改ConfigureServices中AddCors的配置：

services.AddCors(options =>
{
    options.AddPolicy("AllowMyOrigin", builder =>
    {
        // 必须明确指定前端域名，不能使用AllowAnyOrigin
        builder.WithOrigins("http://localhost:4200") // 替换为你实际的前端访问地址
               .AllowAnyHeader()
               .AllowAnyMethod()
               // 必须开启允许凭证
               .AllowCredentials();
    });
});

2. 修正Cookie配置 #

跨域场景下需要调整Cookie的SameSite策略，修改ConfigureApplicationCookie的配置：

services.ConfigureApplicationCookie(options =>
{
    // 跨域场景必须设为None
    options.Cookie.SameSite = SameSiteMode.None;
    // 生产环境HTTPS用Always，本地开发用HTTP的话改为SameAsRequest
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
    // 保持HttpOnly开启，防止XSS攻击窃取Cookie
    options.Cookie.HttpOnly = true;
    // 其余原有配置保留
});

3. 修正Angular请求配置 #

Angular的HttpClient默认不会在跨域请求中携带/接收Cookie，需要手动开启withCredentials参数：

login(dto:LoginInput):Observable<LoginResult> {
    return this.http.post<LoginResult>(
        this.baseUrl+'/login',
        dto,
        // 新增配置项
        { withCredentials: true }
    ).pipe(
        tap(...)
    );
}

注意：后续所有需要鉴权的接口请求，都需要带上withCredentials: true配置，否则请求不会携带身份Cookie，仍然会鉴权失败。

验证方法 #

修改完成后调用登录接口，查看响应头中是否存在Set-Cookie字段，若存在且前端控制台Application->Cookie存储中能看到对应身份Cookie，即配置生效。

内容的提问来源于stack exchange，提问作者GoldenView