如何配置应用Cookie在过期时触发删库与用户登出（SAML MVC场景）

我来帮你搞定这个问题！你之前遇到的核心痛点是：默认的Identity Cookie过期后只会返回401，但不会主动清理数据库里的会话记录，也不会自动触发用户登出——这是因为ASP.NET Core不会监听客户端的Cookie过期事件，必须在服务端每次请求验证时主动判断处理。下面分两种场景给你具体的实现方案：

一、基于ASP.NET Core Identity内置Cookie的优化方案 #

你可以通过扩展ConfigureApplicationCookie的事件来添加自定义逻辑，在每次请求验证Cookie时检查是否过期（或临近过期），然后执行清理和登出：

1. 更新Startup中的Cookie配置 #

services.ConfigureApplicationCookie(options => { 
    options.Cookie.Name = "Test.Identity"; 
    options.ExpireTimeSpan = TimeSpan.FromMinutes(20); // 改成你的预期闲置时间
    options.SlidingExpiration = true; 
    options.LogoutPath = new PathString("/Saml/LogOut"); 

    // 每次验证Cookie主体时触发的逻辑
    options.Events.OnValidatePrincipal = async context =>
    {
        // 检查Cookie是否即将过期（比如提前30秒）或已过期
        var expiresUtc = context.Properties.ExpiresUtc;
        if (expiresUtc.HasValue && expiresUtc.Value <= DateTimeOffset.UtcNow.AddSeconds(30))
        {
            // 从Cookie属性中取出之前存入的SessionId
            if (context.Properties.Items.TryGetValue("SessionId", out var sessionId))
            {
                // 删除数据库中对应的会话记录
                await _userSessionService.CleanupSessionAsync(sessionId);
            }

            // 标记当前身份无效，触发登出流程
            context.RejectPrincipal();
            // 清除过期的Cookie
            await context.HttpContext.SignOutAsync(options.CookieAuthenticationScheme);
        }
    };

    // 可选：处理主动登出时的数据库清理（防止漏删）
    options.Events.OnSigningOut = async context =>
    {
        if (context.Properties.Items.TryGetValue("SessionId", out var sessionId))
        {
            await _userSessionService.CleanupSessionAsync(sessionId);
        }
    };
});

2. 登录时将SessionId存入Cookie属性 #

在SAML登录成功的回调方法里，需要把数据库生成的SessionId附加到Cookie的身份验证属性中，这样后续才能在OnValidatePrincipal中拿到：

// 登录成功后创建会话并存入数据库
UserSession initiatedSession = await _userSessionService.InitiateSessionAsync(ssoResult.UserID);

// 创建身份验证属性，存入SessionId
var authProperties = new AuthenticationProperties
{
    ExpiresUtc = DateTimeOffset.UtcNow.AddMinutes(20),
    IsPersistent = false // 根据需求设置是否持久化
};
authProperties.Items["SessionId"] = initiatedSession.SessionId;

// 完成用户登录，同时将属性附加到Cookie
await HttpContext.SignInAsync(CookieAuthenticationDefaults.AuthenticationScheme, userPrincipal, authProperties);

二、自定义Cookie的实现方案 #

如果你选择不用Identity内置Cookie，而是自己管理会话Cookie，可以通过自定义中间件来实现过期检查和清理：

1. 编写会话清理中间件 #

public class SessionCleanupMiddleware
{
    private readonly RequestDelegate _next;
    private readonly IUserSessionService _userSessionService;

    public SessionCleanupMiddleware(RequestDelegate next, IUserSessionService userSessionService)
    {
        _next = next;
        _userSessionService = userSessionService;
    }

    public async Task InvokeAsync(HttpContext context)
    {
        // 检查自定义SessionId Cookie是否存在
        if (context.Request.Cookies.TryGetValue("SessionId", out var sessionId))
        {
            // 从数据库获取会话信息，检查是否过期
            var session = await _userSessionService.GetSessionAsync(sessionId);
            if (session != null && session.ExpiresAt <= DateTime.UtcNow)
            {
                // 删除数据库会话记录
                await _userSessionService.CleanupSessionAsync(sessionId);
                // 清除客户端Cookie
                context.Response.Cookies.Delete("SessionId");
                // 跳转到SAML登出页面
                context.Response.Redirect("/Saml/LogOut");
                return;
            }
            // 可选：如果会话即将过期，自动刷新Cookie和数据库过期时间（对应滑动过期）
            else if (session != null && session.ExpiresAt <= DateTime.UtcNow.AddMinutes(1))
            {
                var newExpiry = DateTime.UtcNow.AddMinutes(20);
                await _userSessionService.RefreshSessionExpiryAsync(sessionId, newExpiry);
                
                var cookieOptions = new CookieOptions
                {
                    Expires = newExpiry,
                    IsEssential = true,
                    Secure = true,
                    HttpOnly = true, // 建议开启，防止XSS攻击
                    SameSite = SameSiteMode.Strict // 增强安全性
                };
                context.Response.Cookies.Append("SessionId", sessionId, cookieOptions);
            }
        }

        // 继续执行后续中间件
        await _next(context);
    }
}

2. 在Startup中注册中间件 #

确保这个中间件放在身份验证中间件之前（如果用了Identity的话），或者管道的靠前位置：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // ...其他中间件（如异常处理、静态文件等）

    // 添加自定义会话清理中间件
    app.UseMiddleware<SessionCleanupMiddleware>();

    // ...身份验证与授权中间件（如果使用）
    app.UseAuthentication();
    app.UseAuthorization();

    // ...路由、端点等中间件
    app.UseRouting();
    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllerRoute(
            name: "default",
            pattern: "{controller=Home}/{action=Index}/{id?}");
    });
}

关键注意事项 #

• 安全性强化：自定义Cookie时一定要开启HttpOnly和SameSite属性，避免XSS和CSRF攻击；生产环境建议开启Secure = true（仅HTTPS传输）。
• 滑动过期一致性：如果使用SlidingExpiration，要确保数据库中的会话过期时间和Cookie的过期时间同步更新，避免出现Cookie有效但数据库会话已过期的情况。
• SAML单点登出：触发登出时，记得调用SAML IDP的登出接口（如果需要单点登出），避免用户在IDP端仍处于登录状态。

内容的提问来源于stack exchange，提问作者WarrenG