FormsAuthentication Cookie无法保存：管理员与客户登录页行为不一致

看起来你遇到的问题很典型——同一段Cookie设置代码在管理员端正常，客户端却失效，而且已经排查了常见的浏览器、配置差异等问题，那咱们可以从几个容易被忽略的细节入手：

1. 检查Cookie的路径（CookiePath） #

FormsAuthentication.GetAuthCookie默认会使用当前请求的路径作为Cookie的路径。举个例子：如果管理员登录页在/Admin/Login，生成的Cookie路径会是/Admin；如果客户登录页在/Customer/Login，默认Cookie路径就是/Customer，这会导致根目录或其他子目录的请求无法携带这个Cookie，自然无法识别用户身份。

解决方法：手动指定Cookie的根路径/，确保全站都能访问到：

// 修改GetAuthCookie的调用，指定第三个参数为根路径
var cookie = FormsAuthentication.GetAuthCookie(name, true, "/");

// 或者在创建新Ticket时，强制设置CookiePath为"/"
var newTicket = new FormsAuthenticationTicket(
 ticket.Version,
 ticket.Name,
 ticket.IssueDate,
 ticket.Expiration,
 true,
 Newtonsoft.Json.JsonConvert.SerializeObject(userData),
 "/" // 替换原来的ticket.CookiePath
);

2. 排查UserData的序列化长度问题 #

FormsAuthenticationTicket的UserData字段有4096字节的长度限制，如果客户的UserData对象序列化后超过这个长度，加密后的Ticket会无效，浏览器会悄悄拒绝保存这个Cookie（不会报错，只是不存储）。而管理员的UserData可能字段更少，刚好在限制内，所以能正常工作。

排查步骤：
在序列化UserData后打印长度，确认是否超限：

var userDataJson = Newtonsoft.Json.JsonConvert.SerializeObject(userData);
// 输出到调试窗口或日志查看长度
System.Diagnostics.Debug.WriteLine($"客户UserData序列化后长度：{userDataJson.Length}");

如果超限，要么精简UserData（只保留必要字段），要么考虑将用户信息存储到Session，只在Ticket里存SessionID。

3. 检查SameSite属性兼容性 #

现代浏览器对Cookie的SameSite属性有严格要求，如果你的Cookie没有设置SameSite，可能会在跨站点请求（甚至某些同站点跳转）中被拦截。老版本的FormsAuthentication默认不会设置SameSite属性，这可能导致客户端的Cookie被浏览器拒绝。

解决方法：手动添加SameSite属性（针对.NET Framework 4.7.2及以上版本）：

// 在设置cookie.Value之后添加
cookie.SetSameSite(System.Web.SameSiteMode.Lax);
// HTTPS环境下确保Secure属性正确
cookie.Secure = true;

如果是低于4.7.2的.NET Framework版本，可以通过修改Response Header的方式设置：

responseBase.Headers.Add("Set-Cookie", $"{cookie.Name}={cookie.Value}; path=/; secure; samesite=lax");

4. 确认是否有其他代码修改了Response.Cookies #

客户登录流程中，有没有在调用SetAuthCookie之后，还有其他代码修改了Response的Cookies集合？比如清空Cookies、覆盖同名Cookie等？可以在客户登录的代码里加日志，跟踪Cookies的变化情况，确认没有后续操作覆盖了刚设置的Auth Cookie。

最后一步：用浏览器开发者工具抓包验证 #

打开浏览器的开发者工具（F12），切换到Network标签：

• 找到登录请求，查看Response Headers里的Set-Cookie头，确认Cookie的路径、过期时间、SameSite、Secure等属性是否正确；
• 查看后续重定向后的请求，Request Headers里是否携带了这个Cookie；
• 如果Cookie没被携带，检查浏览器的Application标签里是否存在这个Cookie，以及它的属性是否符合当前页面的访问要求。

内容的提问来源于stack exchange，提问作者glenn223