Umbraco 7.5后台登录致前台Membership用户登出的问题咨询

这个问题我之前帮同行排查过，本质是Umbraco 7.x后台的身份验证机制和你前台Web Forms的Membership系统在Cookie/Session配置上冲突了——登录后台时覆盖了前台的登录凭证，导致前台用户被踢下线。下面是一步步的解决思路，亲测有效：

1. 给前台和后台配置独立的身份验证Cookie #

Umbraco后台默认用的是umbracoAuthCookie，而你的前台Web Forms默认用.ASPXAUTH，但如果路径、域配置不对，还是会互相干扰。我们直接给两边明确划分Cookie：

前台Web Forms的Cookie配置（修改Web.config） #

在<system.web>下的<authentication>节点里，自定义前台的Cookie名称、路径，确保和后台完全分开：

<authentication mode="Forms">
  <forms name=".FrontendUserAuth" 
         path="/" 
         domain="yourdomain.com" <!-- 替换成你的实际域名 -->
         timeout="2880" 
         slidingExpiration="true" 
         cookieless="UseCookies" />
</authentication>

Umbraco后台的Cookie配置（修改Web.config） #

找到<umbracoConfiguration>下的<security>节点，自定义后台的Cookie名称和路径，让它只在后台路径生效：

<umbracoConfiguration>
  <settings>
    <security>
      <authCookieName>UmbracoBackendAuth</authCookieName>
      <authCookiePath>/umbraco</authCookiePath> <!-- 限定只在后台路径生效 -->
      <authCookieDomain>yourdomain.com</authCookieDomain> <!-- 和前台保持一致的域名 -->
    </security>
  </settings>
</umbracoConfiguration>

2. 固定MachineKey，避免凭证解密失败 #

如果Web.config里的machineKey是动态生成的，每次应用重启或者后台登录时，密钥变化会导致前台的FormsAuthentication凭证无法解密，直接登出。我们把它改成固定值：

在<system.web>下添加（可以用在线的ASP.NET MachineKey生成器生成专属密钥）：

<machineKey validationKey="你的验证密钥" 
            decryptionKey="你的解密密钥" 
            validation="SHA1" 
            decryption="AES" />

3. 让Umbraco只管好自己的后台路径 #

Umbraco默认会拦截所有请求处理身份验证，我们可以限制它只处理后台相关路径，别干扰前台：

在<appSettings>里添加两个配置项：

<appSettings>
  <!-- 告诉Umbraco只处理/umbraco和/install路径的请求 -->
  <add key="umbracoReservedPaths" value="/umbraco,/install/" />
  <!-- 禁用Umbraco自动覆盖FormsAuthentication的默认配置 -->
  <add key="umbracoDisableDefaultAuth" value="true" />
</appSettings>

注意：开启umbracoDisableDefaultAuth后，要确保后台登录正常，如果出现后台登录问题，检查前面的Cookie配置是否正确。

4. 确认Membership Provider配置一致 #

如果你的前台用的是Umbraco自带的Members Provider，确保Web.config里的<membership>节点默认指向UmbracoMembershipProvider，这样用户数据是共享的，不会出现身份验证不匹配的问题：

<membership defaultProvider="UmbracoMembershipProvider">
  <providers>
    <clear />
    <add name="UmbracoMembershipProvider" 
         type="Umbraco.Web.Security.Providers.MembersMembershipProvider, Umbraco" 
         minRequiredNonalphanumericCharacters="0" 
         minRequiredPasswordLength="8" 
         useLegacyEncoding="false" 
         enablePasswordRetrieval="false" 
         enablePasswordReset="true" 
         requiresQuestionAndAnswer="false" 
         defaultPasswordFormat="Hashed" 
         passwordStrengthRegularExpression="" 
         allowManuallyChangingPassword="true" />
  </providers>
</membership>

如果是自定义的Provider，要确保它和Umbraco的Provider兼容，用户数据能被两边正确读取。

5. 隔离Session Cookie（可选） #

如果你的前台用了Session，也可以给Session Cookie自定义名称，避免和Umbraco的Session冲突：

<system.web>
  <sessionState mode="InProc" 
                timeout="20" 
                cookieless="UseCookies" 
                cookieName=".FrontendSession" />
</system.web>

最后验证步骤 #

改完配置后，按这个流程测试：

1. 前台登录用户，调试时确认System.Web.Security.Membership.GetUser()能拿到用户信息。
2. 新开标签页登录Umbraco后台。
3. 返回前台页面，再次调用GetUser()，检查是否还能获取到用户数据。

如果还是有问题，先清掉浏览器的Cookie和缓存再试，或者用F12开发者工具查看Cookie的创建情况，确认前台和后台的Cookie是独立存在的。

内容的提问来源于stack exchange，提问作者Computer