ASP.NET MVC iframe内RedirectToAction后Session重置问题求助

首先，你的问题核心是本地环境下，现代浏览器（Chrome/Firefox/Edge）对跨域第三方Cookie的拦截策略，导致RedirectToAction后Session无法延续，生产环境正常是因为通常生产环境的域名配置、Cookie策略更符合浏览器的安全要求，而本地调试时的跨域场景触发了浏览器的安全限制。

下面是针对性的解决步骤：

1. 调整Cookie的SameSite与Secure属性 #

现代浏览器默认启用了SameSite=Lax的策略，跨域iframe场景下，第三方Cookie会被拦截。你需要显式配置Session Cookie的SameSite属性：

• 在App_A的web.config中添加或修改httpCookies节点：

  <system.web>
    <httpCookies sameSite="None" requireSSL="false" />
    <!-- 生产环境请将requireSSL设为true，确保Cookie仅通过HTTPS传输 -->
  </system.web>
  

  本地调试时如果用HTTP，requireSSL必须设为false，否则SameSite=None的Cookie会被浏览器拒绝；生产环境一定要开启SSL并设为true。

• 如果是ASP.NET MVC 5及以上，也可以在Global.asax的Session_Start方法中手动设置Cookie属性：

  protected void Session_Start(object sender, EventArgs e)
  {
      if (Response.Cookies["ASP.NET_SessionId"] != null)
      {
          Response.Cookies["ASP.NET_SessionId"].SameSite = SameSiteMode.None;
          Response.Cookies["ASP.NET_SessionId"].Secure = Request.IsSecureConnection;
      }
  }
  

2. 解决iframe跨域Cookie携带问题 #

之前Safari的父窗口预加载方案失效，是因为现代浏览器对第三方Cookie的拦截更严格。你可以尝试：

• 确保App_A和App_B在本地调试时使用同一主域名的不同子域名（比如a.localhost:5000和b.localhost:5000），然后在web.config中配置Cookie的域名：

  <httpCookies domain=".localhost" sameSite="None" requireSSL="false" />
  

  这样浏览器会认为是同域，允许Cookie共享。

• 如果你无法使用同主域名，需要在浏览器中临时关闭第三方Cookie拦截（仅用于调试）：

  • Chrome：右键快捷方式，添加启动参数 --disable-features=SameSiteByDefaultCookies,CookiesWithoutSameSiteMustBeSecure
  • Firefox：在about:config中设置network.cookie.sameSite.laxByDefault为false，network.cookie.sameSite.noneRequiresSecure为false

3. 排查SessionID变化的根源 #

Session_Start触发两次，说明Redirect后的请求没有携带第一次创建的Session Cookie：

• 打开浏览器开发者工具（F12），查看App_A的index()请求的Response头，确认Set-Cookie中是否包含ASP.NET_SessionId，且SameSite属性正确。
• 查看Shipping()请求的Request头，确认Cookie中是否携带了这个SessionID。如果没有，就是浏览器拦截了Cookie，回到步骤1调整配置。

4. 为什么生产环境正常？ #

生产环境通常满足以下条件之一：

• App_A和App_B部署在同一域名下，不属于跨域场景，浏览器允许Cookie正常传递。
• 生产环境已配置了正确的SameSite=None和Secure属性，且使用HTTPS，浏览器允许第三方Cookie。
• 生产环境的浏览器第三方Cookie拦截策略未开启（或应用在可信站点列表中）。

内容的提问来源于stack exchange，提问作者Vignesh K