.Net Core 2.2 Cookie认证问题：已登录用户无法自动重登

你遇到的核心问题主要集中在认证方案的默认配置缺失，以及几个细节配置的不合理之处，下面逐个拆解并给出修复方案：

1. 未设置默认认证/挑战方案 #

你的AddAuthentication()调用没有指定默认的认证方案，这会导致HttpContext不会自动尝试使用你定义的OPERATOR_AUTH Cookie认证方案来验证用户身份——这是最关键的问题。

修复方式 #

修改服务配置，明确指定默认的认证和挑战方案：

services.AddAuthentication(options =>
{
    // 设置默认的认证、挑战方案为你的操作员Cookie认证
    options.DefaultAuthenticateScheme = "OPERATOR_AUTH";
    options.DefaultChallengeScheme = "OPERATOR_AUTH";
})
.AddCookie("OPERATOR_AUTH", o => {
    // 保留你原有的配置
    o.LoginPath = "/login";
    o.LogoutPath = "/logout";
    o.AccessDeniedPath = "/denied";
    o.Cookie.HttpOnly = true;
    // 开发环境不要强制HTTPS，否则HTTP下浏览器不会发送Cookie
    o.Cookie.SecurePolicy = Environment.IsDevelopment() ? CookieSecurePolicy.None : CookieSecurePolicy.Always;
    o.Cookie.SameSite = SameSiteMode.Strict;
});

2. 登录页未检查已认证用户 #

你的Login GET方法没有判断用户是否已经通过认证，所以即使用户已经登录，访问/login时也不会自动跳转，还是会显示登录表单。

修复方式 #

修改Login GET方法，添加认证状态检查：

[Route("login")]
public async Task<IActionResult> Login()
{
    // 检查用户是否已完成认证
    if (HttpContext.User.Identity.IsAuthenticated)
    {
        // 已登录则直接跳转到用户信息页或首页
        return RedirectToAction("UserInformation", "Home");
    }
    return View(new OperatorLoginModel());
}

3. 开发环境下Cookie的SecurePolicy配置问题 #

你设置了o.Cookie.SecurePolicy = CookieSecurePolicy.Always，这会强制Cookie只能通过HTTPS传输。如果你的开发环境使用HTTP（比如默认的IIS Express或Kestrel HTTP服务），浏览器会拒绝发送这个Cookie，导致服务器无法识别已登录用户。

修复方式 #

像上面的代码那样，根据运行环境动态设置SecurePolicy，兼顾开发便利性和生产环境安全性。

4. 中间件顺序的优化建议 #

你的自定义XSRF中间件放在了UseAuthentication()之后，虽然不影响当前认证问题，但最佳实践是把认证中间件放在自定义业务中间件之前，确保认证信息在后续中间件中可用。调整后更规范：

app.UseCookiePolicy();
// 先执行认证中间件，确保后续流程能获取到用户身份
app.UseAuthentication();
// 再执行自定义XSRF中间件
app.Use(next => ctx => {
    var cookieOptions = new CookieOptions { HttpOnly = true };
    var tokens = antiforgery.GetAndStoreTokens(ctx);
    ctx.Response.Cookies.Append("XSRF-TOKEN", tokens.RequestToken,cookieOptions);
    return next(ctx);
});
// 如果后续有接口需要授权，别忘了添加授权中间件
app.UseAuthorization();

验证步骤 #

1. 重启应用，完成登录后检查HttpContext.User.Identity.IsAuthenticated是否为true
2. 访问/login，应该自动跳转到用户信息页
3. 刷新用户信息页，检查HttpContext.User是否能获取到正确的Claim信息

内容的提问来源于stack exchange，提问作者epanalepsis