Angular 8 withCredentials未发送Cookie至ASP.NET MVC 5后端问题

我帮你排查下这个跨域Cookie认证的问题，你已经做了不少基础配置，但还有几个容易踩的坑需要逐个确认：

1. 先解决OPTIONS预检请求的CORS头缺失问题 #

你的CORS配置放在ActionFilterAttribute里，但浏览器发送的OPTIONS预检请求不会触发Action执行，导致这个过滤器根本不会给OPTIONS请求添加CORS头。浏览器收到OPTIONS响应后，发现缺少Access-Control-Allow-Credentials等关键头，就会直接阻止后续请求携带Cookie。

解决方法是在Global.asax的Application_BeginRequest事件里统一处理所有请求的CORS，包括OPTIONS预检：

protected void Application_BeginRequest()
{
    var allowedOrigin = "http://localhost:4200";
    Response.AddHeader("Access-Control-Allow-Origin", allowedOrigin);
    Response.AddHeader("Access-Control-Allow-Credentials", "true");

    if (Request.HttpMethod == "OPTIONS")
    {
        Response.StatusCode = (int)HttpStatusCode.OK;
        Response.AddHeader("Access-Control-Allow-Headers", "Origin, Accept, X-Requested-With, Content-Type, Access-Control-Request-Method, Access-Control-Request-Headers");
        Response.AddHeader("Access-Control-Allow-Methods", "GET, HEAD, OPTIONS, POST, PUT");
        Response.End();
    }
}

这样就能确保OPTIONS请求拿到合规的CORS响应，浏览器才会允许后续请求携带Cookie。

2. 确认Cookie的SameSite和Secure属性配置正确 #

你提到已经把SameSite设为None，但这里有两个关键点：

• SameSite=None必须搭配Secure属性，但本地开发用HTTP（http://localhost:4200）时，浏览器会拒绝发送带Secure的Cookie（Secure要求HTTPS环境）。所以本地开发要把Secure设为false，上线后再改成true。
• ASP.NET MVC 5的HttpCookie在.NET Framework 4.7.2以下版本没有原生的SameSite枚举，需要手动通过响应头设置。

更新你的Cookie生成代码：

var ticket = new FormsAuthenticationTicket(SessionHelper.DefaultSession().KullaniciAdi, model.RememberMe, timeout);
string encrypted = FormsAuthentication.Encrypt(ticket);
HttpCookie cookie = new HttpCookie(FormsAuthentication.FormsCookieName, encrypted)
{
    Expires = DateTime.Now.AddMinutes(timeout),
    HttpOnly = true,
    // 本地开发设为false，线上HTTPS环境设为true
    Secure = false,
    // .NET Framework 4.7.2+ 直接用枚举
    SameSite = SameSiteMode.None
};

// 如果是.NET Framework 4.7.2以下版本，替换成下面的代码设置SameSite：
// var cookieHeader = cookie.ToString();
// cookieHeader += "; SameSite=None";
// Response.Headers.Add("Set-Cookie", cookieHeader);

Response.Cookies.Add(cookie);
return RedirectToAction("Index", "Home");

3. 确认Angular端的withCredentials没有被覆盖 #

虽然你的拦截器设置了withCredentials: true，但可以加个日志确认最终请求的配置：

intercept(request: HttpRequest<any>, next: HttpHandler): Observable<HttpEvent<any>> {
  console.log('拦截器处理前withCredentials:', request.withCredentials);
  const newRequest = request.clone({ withCredentials: true });
  console.log('拦截器处理后withCredentials:', newRequest.withCredentials);
  return next.handle(newRequest);
}

确保你的getDefaultConfiguration里的options没有无意中覆盖这个设置（不过拦截器是最后执行的，理论上会覆盖，但日志能帮你排除这个可能性）。

4. 检查Cookie的Domain属性 #

如果你的MVC后端运行在不同端口（比如localhost:5000），而Angular是localhost:4200，需要把Cookie的Domain设为localhost，这样Cookie才能在跨端口请求中被携带：

cookie.Domain = "localhost";

注意：Domain只填域名，不要加端口号。

最后测试前记得清除浏览器的旧Cookie和缓存，重新登录后再发送请求，查看Chrome Network面板：

• 请求头里是否有Cookie字段
• 登录响应的Set-Cookie头是否包含正确的SameSite=None、Secure（本地为false）、Domain=localhost属性

内容的提问来源于stack exchange，提问作者Hakan Fıstık