2021年ASP.NET Core对接外部提供商登录的正确实现方案（解决Safari SameSite问题）

问题根因 #

Safari 存在独立的 SameSite Cookie 实现逻辑：在 OAuth2 第三方登录的回调场景中，从身份提供商站点POST跳转回业务站点时，Safari 不会携带 SameSite 属性为 Lax 的Cookie，导致认证流程无法正常完成，出现无限登录重定向的问题。该问题和ASP.NET Core 默认 MinimumSameSitePolicy 为 Lax 的通用规则不冲突，属于浏览器特殊适配场景。

正确配置方案 #

不要全局将所有Cookie的SameSite设置为None，需做浏览器兼容适配，同时满足安全要求：

1. 基础配置规则 #

• 仅认证流程依赖的Cookie设置为 SameSiteMode.None，业务Cookie保持原有配置即可
• SameSiteMode.None 的Cookie必须同时开启 Secure 属性，仅在HTTPS环境下生效
• 保持HttpOnly属性开启，规避XSS攻击风险
• MinimumSameSitePolicy 保留默认值 SameSiteMode.Lax，适配其他主流浏览器的常规请求场景

2. 代码实现（ASP.NET Core 5.x） #

服务注册配置

using Microsoft.AspNetCore.Authentication.Cookies;
using Microsoft.AspNetCore.Authentication.OpenIdConnect;
using Microsoft.IdentityModel.Protocols.OpenIdConnect;
using Microsoft.IdentityModel.Tokens;

public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthentication(options =>
    {
        options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
        options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
    })
    .AddCookie(CookieAuthenticationDefaults.AuthenticationScheme, options =>
    {
        options.Cookie.HttpOnly = true;
        options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
        options.Cookie.SameSite = SameSiteMode.None;
        options.MinimumSameSitePolicy = SameSiteMode.Lax;
    })
    .AddOpenIdConnect(OpenIdConnectDefaults.AuthenticationScheme, options =>
    {
        // 填入你的Azure AD配置参数
        options.Authority = "https://login.microsoftonline.com/你的租户ID";
        options.ClientId = "你的客户端ID";
        options.ClientSecret = "你的客户端密钥";
        options.ResponseType = OpenIdConnectResponseType.Code;
        options.SaveTokens = true;
        options.TokenValidationParameters = new TokenValidationParameters
        {
            NameClaimType = "name"
        };
    });

    // 其他服务注册
    services.AddControllersWithViews();
}

SameSite兼容中间件配置

在认证中间件之前注入适配中间件，处理不支持SameSite=None的老旧浏览器：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // 放在UseAuthentication之前
    app.Use(async (context, next) =>
    {
        var userAgent = context.Request.Headers.UserAgent.ToString();
        // 判定不支持SameSite=None的浏览器
        var disallowSameSiteNone = 
            (userAgent.Contains("Safari") && !userAgent.Contains("Chrome") && !userAgent.Contains("Edge"))
            || userAgent.Contains("CPU iPhone OS 12")
            || userAgent.Contains("iPad; CPU OS 12")
            || userAgent.Contains("Mac OS X 10_14") && userAgent.Contains("Version/") && userAgent.Contains("Safari");

        if (disallowSameSiteNone)
        {
            context.Response.Cookies.Append(
                "SameSiteFix", 
                "1", 
                new CookieOptions { SameSite = SameSiteMode.Unspecified });
            foreach (var cookie in context.Response.Cookies)
            {
                // 对不支持的浏览器，将SameSite改为Unspecified
                cookie.Value.SameSite = SameSiteMode.Unspecified;
            }
        }
        await next();
    });

    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
    }
    else
    {
        app.UseHsts();
    }

    app.UseHttpsRedirection();
    app.UseStaticFiles();
    app.UseRouting();
    app.UseAuthentication();
    app.UseAuthorization();

    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllerRoute(
            name: "default",
            pattern: "{controller=Home}/{action=Index}/{id?}");
    });
}

3. 生产环境注意事项 #

• 全链路必须开启HTTPS，包括反向代理、CDN节点都要配置有效SSL证书，否则SameSite=None的Cookie会被浏览器直接拒绝
• 测试前清空Safari浏览器的本地Cookie，避免旧配置的缓存Cookie影响验证结果
• 不要修改非认证相关Cookie的SameSite属性，避免引入跨站请求伪造的安全风险

内容的提问来源于stack exchange，提问作者S. ten Brinke