.NET Core 2.0中如何减小Identity Cookie的大小？

我之前帮不少开发者处理过类似的Cookie体积超标问题，结合你的.NET Core 2.0 + Google认证场景，给你几个实用的解决方案：

方案一：将群组角色数据移到服务器端存储（首推） #

核心思路是不在Cookie里直接存放所有群组声明，只保留一个唯一标识，把完整的群组数据存在服务器端缓存（比如MemoryCache、Redis），每次需要授权时再动态加载。

具体实现步骤： #

1. 用户通过Google认证成功后，生成一个唯一的SessionClaimId（比如用Guid）。
2. 将用户邮箱和对应的群组列表存入分布式缓存，设置和Cookie一致的过期时间。
3. 仅把SessionClaimId、邮箱、基础身份信息作为Claim写入Cookie，大幅减小Cookie体积。
4. 实现IClaimsTransformation接口，在每次请求时通过SessionClaimId从缓存取出群组数据，动态添加到用户Claims集合，供授权逻辑使用。

代码示例（.NET Core 2.0）：

首先在Startup.cs注册分布式缓存（生产环境推荐Redis，这里以MemoryCache为例）：

public void ConfigureServices(IServiceCollection services)
{
    services.AddMemoryCache();
    // 保留你的Identity、Google认证原有配置...
}

实现自定义Claims转换器：

public class GroupClaimsTransformer : IClaimsTransformation
{
    private readonly IDistributedCache _cache;

    public GroupClaimsTransformer(IDistributedCache cache)
    {
        _cache = cache;
    }

    public async Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)
    {
        if (principal.Identity.IsAuthenticated)
        {
            var sessionId = principal.FindFirst("SessionClaimId")?.Value;
            if (!string.IsNullOrEmpty(sessionId))
            {
                // 从缓存读取群组数据
                var groupJson = await _cache.GetStringAsync($"UserGroups:{sessionId}");
                if (!string.IsNullOrEmpty(groupJson))
                {
                    var groups = JsonConvert.DeserializeObject<List<string>>(groupJson);
                    var identity = principal.Identity as ClaimsIdentity;
                    foreach (var group in groups)
                    {
                        identity.AddClaim(new Claim(ClaimTypes.Role, group));
                    }
                }
            }
        }
        return principal;
    }
}

在Startup.cs注册转换器：

services.AddTransient<IClaimsTransformation, GroupClaimsTransformer>();

修改Google认证回调，处理缓存和精简Claim：

services.AddAuthentication()
    .AddGoogle(options =>
    {
        options.ClientId = "你的Google客户端ID";
        options.ClientSecret = "你的Google客户端密钥";
        options.Events = new OAuthEvents
        {
            OnCreatingTicket = async context =>
            {
                // 调用Google Directory API获取用户群组（保留你原有的逻辑）
                var userGroups = await FetchUserGroupsFromGoogle(context.Identity.Name);
                
                // 生成唯一会话ID
                var sessionId = Guid.NewGuid().ToString();
                
                // 存入缓存，设置过期时间
                var cacheOptions = new DistributedCacheEntryOptions
                {
                    AbsoluteExpirationRelativeToNow = TimeSpan.FromHours(8) // 和Cookie过期时间对齐
                };
                var cache = context.HttpContext.RequestServices.GetRequiredService<IDistributedCache>();
                await cache.SetStringAsync($"UserGroups:{sessionId}", JsonConvert.SerializeObject(userGroups), cacheOptions);
                
                // 添加会话ID到Claim，移除冗余声明
                context.Identity.AddClaim(new Claim("SessionClaimId", sessionId));
                var redundantClaims = context.Identity.Claims
                    .Where(c => c.Type != ClaimTypes.Name && c.Type != ClaimTypes.Email && c.Type != "SessionClaimId")
                    .ToList();
                foreach (var claim in redundantClaims)
                {
                    context.Identity.RemoveClaim(claim);
                }
            }
        };
    });

方案二：过滤并优化群组声明 #

如果暂时不想改存储架构，可以先从减少声明数量入手：

• 调用Google Directory API时，只获取和应用授权相关的群组（比如过滤掉内部测试、无关部门的群组），不要把所有群组都加入Claim。
• 对群组名称进行压缩，比如用短编码代替完整域名（比如把marketing@yourcompany.com存为MARKETING），在授权逻辑里再映射回原名称。

方案三：使用Reference Token替代自包含Cookie #

本质和方案一类似，把完整的身份数据（包括群组）存在服务器端，Cookie里只存一个短的引用令牌。每次请求时，服务器通过令牌从存储中读取完整身份信息。

如果你的项目已经使用IdentityServer4，可以直接配置为Reference Token模式；如果不想引入额外框架，自己实现类似逻辑也很简单（参考方案一的缓存思路即可）。

不推荐的方案：调整Cookie大小限制 #

虽然可以通过修改IIS配置（比如web.config的httpCookies节点）来增大Cookie上限，但这是治标不治本的方法——不同浏览器的Cookie大小限制普遍在4KB左右，用户群组数量增加后还是会触发问题，而且可能引发兼容性问题，不建议采用。

内容的提问来源于stack exchange，提问作者Daath