MVC应用生产环境生成两套Cookie 仅需保留www域名Cookie的问题咨询

• 现有代码没有显式指定Cookie的归属域名，.NET 默认会将Cookie挂载到当前请求的精确访问域名下：
  • 用户通过裸域test-solution.com访问时，写入的Cookie会存储在test-solution.com域下
  • 用户通过www.test-solution.com访问时，写入的Cookie会存储在www.test-solution.com域下
    长期运行就会在两个域下各留存一份同名Cookie，不符合只保留www域Cookie的需求。
• 代码本身存在两处无效写法：
  • 往Path属性里拼接;SameSite=Lax;的逻辑完全不生效，SameSite是Cookie的独立顶级属性，不属于Path字段，这种写法会把Cookie的Path值破坏成类似/;SameSite=Lax;的无效值，导致Cookie路径匹配逻辑异常。
  • 没有固定Cookie域名，完全依赖当前请求的访问域名生成作用域，自然会出现双域下的重复Cookie。

核心修改逻辑：

• 显式给Cookie固定指定归属域名为www.test-solution.com，覆盖框架默认的“按当前请求域名匹配”的逻辑，不管请求走哪个域名，写入的Cookie都只挂载到www域下
• 修正Release环境下的属性配置，用HttpCookie的原生属性设置Secure、SameSite配置，取消硬拼Path的错误逻辑
• 补充裸域跳转逻辑：站点本身配置永久301跳转，将所有访问test-solution.com的请求直接重定向到www.test-solution.com，从入口上避免用户通过裸域访问生成新的Cookie

修正后的可直接使用的代码：

HttpCookie UserToken = HttpContext.Current.Request.Cookies["UserToken"];
if (UserToken == null)
{
    UserToken = new HttpCookie("UserToken");
    UserToken.Values["Token"] = Guid.NewGuid().ToString();
}
HttpContext.Current.Session["UserToken"] = UserToken.Values["Token"];

#if RELEASE
    // 固定Cookie归属为www.test-solution.com，避免生成裸域下的Cookie
    UserToken.Domain = "www.test-solution.com";
    UserToken.Secure = true;
    // 用原生属性设置SameSite，不要硬拼到Path上
    UserToken.SameSite = SameSiteMode.Lax;
#endif

UserToken.Expires = DateTime.Now.AddYears(1);
HttpContext.Current.Response.Cookies.Add(UserToken);

• 绝对不要把Cookie的Domain设置为.test-solution.com，这种配置下Cookie会同时对裸域和www子域生效，完全违背只保留www域Cookie的需求。
• 针对已经在裸域下残留的旧版UserToken Cookie，可以增加一段清理逻辑：检测到请求头中携带了裸域下的同名Cookie时，主动将这份旧Cookie的过期时间设置为过去时间，给浏览器发送删除指令，清除残留的无效Cookie，避免新旧Cookie值不一致导致的状态错乱。
• 如果使用的是低版本.NET Framework（不支持原生HttpCookie.SameSite属性），不要用拼Path的方式设置SameSite，正确的兼容写法是在Cookie添加到响应后，遍历响应头中的Set-Cookie条目，找到对应UserToken的条目，在字符串末尾追加;SameSite=Lax参数即可。

内容的提问来源于stack exchange，提问作者Tejashri Patange