Asp.Net Core实现Remember Me功能重启后Cookie存在却无法读取怎么办

问题根因 #

1. 数据保护密钥丢失 #

ASP.NET Core默认会用数据保护服务加密身份认证Cookie的内容，本地开发环境下密钥默认存储在进程内存中，应用停止重启后原有密钥会直接销毁。重启后没有旧密钥就无法解密之前签发的Cookie，哪怕浏览器里Cookie文件还存在，也无法解析出用户身份信息，所以所有Claims取值都会返回null。

2. 中间件顺序错误 #

Configure方法里的中间件执行顺序有误：UseCookiePolicy()必须放在UseAuthentication()之前才会对身份认证逻辑生效，当前顺序会导致Cookie读取规则不生效。

3. 身份验证逻辑存在缺陷 #

• 你已经调用了Identity提供的signInManager.PasswordSignInAsync()方法，该方法本身已经实现了Cookie签发、记住我参数匹配的逻辑，后续你又手动调用HttpContext.SignInAsync()重复签发Cookie，会导致Cookie内容冲突。
• 自定义的CookieAuthEvent的ValidatePrincipal回调没有调用基类方法，也没有返回完成的Task，会中断身份验证流程，哪怕Cookie解密成功也不会加载用户声明到HttpContext。

4. 直接读取Cookie的逻辑不符合设计 #

Request.Cookies["RememberMecookie"]拿到的是加密后的密文字符串，本来就无法直接读取明文内容，解密后的用户信息会自动填充到HttpContext.User中，不需要手动读原始Cookie值。

修复步骤 #

1. 持久化数据保护密钥 #

在ConfigureServices中添加配置，将密钥持久化到本地固定路径（生产环境可替换为存储到数据库、密钥管理服务等）：

services.AddDataProtection()
    // 本地开发指定一个固定的本地目录存密钥，重启应用不会丢失
    .PersistKeysToFileSystem(new DirectoryInfo(@"C:\AppKeys\YourAppName"))
    .SetApplicationName("YourAppName"); // 应用名固定，避免多实例/多环境密钥不兼容

2. 修正中间件顺序 #

调整Configure方法中的中间件执行顺序：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // 其他前置中间件：异常处理、静态文件、路由等
    app.UseCookiePolicy(); // 移到身份验证中间件前面
    app.UseAuthentication();
    app.UseAuthorization();
    // 后续端点配置
}

3. 修复自定义Cookie事件 #

补全回调逻辑，保证验证流程正常执行：

public class CookieAuthEvent : CookieAuthenticationEvents
{
    public override async Task ValidatePrincipal(CookieValidatePrincipalContext context)
    {
        context.Request.HttpContext.Items.Add("ExpiresUTC", context.Properties.ExpiresUtc);
        await base.ValidatePrincipal(context); // 调用基类方法完成默认验证逻辑
    }
}

4. 清理登录接口冗余逻辑 #

删除重复的Cookie签发代码，直接用Identity的登录逻辑即可，如果需要自定义Claims可以通过实现IUserClaimsPrincipalFactory扩展，不要手动重复签发Cookie：

[HttpPost]
public async Task<IActionResult> LoginAsync(VMLogin CurrentUserLog, string returnUrl)
{
    if (!string.IsNullOrEmpty(CurrentUserLog.UserName) && string.IsNullOrEmpty(CurrentUserLog.Password))
    {
        return RedirectToAction("Login");
    }

    if (ModelState.IsValid)
    {
        var SignInStatus = await signInManager.PasswordSignInAsync
            (CurrentUserLog.UserName, CurrentUserLog.Password, CurrentUserLog.RememberMe, false);
        if (SignInStatus.Succeeded)
        {
            if (!string.IsNullOrEmpty(returnUrl) && Url.IsLocalUrl(returnUrl)) 
            {
                return Redirect(returnUrl);
            }
            return RedirectToAction("UserProfile");
        }
        ModelState.AddModelError(string.Empty, "登录尝试无效");
    }
    return View(CurrentUserLog);
}

修改完成后重启应用测试，登录后再次重启应用，直接访问个人主页即可正常读取用户信息。

内容的提问来源于stack exchange，提问作者MOHAMED ABUELATTA