为何ASP.NET MVC 5的“记住我”功能长时间后失效？

我来帮你梳理下这个问题的核心原因和排查方向：

1. 传统Forms认证配置与OWIN Cookie认证冲突 #

如果你的项目Web.config中还保留了传统的Forms认证设置，比如：

<authentication mode="Forms">
  <forms loginUrl="~/Account/Login" timeout="20" />
</authentication>

这个配置会和ASP.NET Identity依赖的OWIN Cookie Authentication产生冲突。因为MVC 5的身份系统基于OWIN框架，传统Forms的timeout参数会干扰OWIN cookie的有效期逻辑，导致即便你勾选了"记住我"，身份验证也会在20分钟后失效。

2. SecurityStamp验证的触发逻辑问题 #

你代码里设置的validateInterval: TimeSpan.FromMinutes(30)，控制的是系统每隔30分钟自动验证一次用户的SecurityStamp（这个戳会在用户改密码、绑定外部登录时更新）。出现你描述的情况，可能是：

• 当关闭浏览器超过20分钟后再次打开，第一次请求时距离上次验证的时间已经接近30分钟阈值，系统触发了SecurityStamp验证；
• 如果此时出现缓存不一致（比如UserManager获取的SecurityStamp和cookie中存储的不匹配）、或者数据库中SecurityStamp被意外修改（比如后台任务、其他隐性操作），验证会失败，系统就会强制要求重新登录；
• 另外，如果你的ApplicationUserManager中GetSecurityStampAsync方法有逻辑错误，也可能导致验证环节异常。

3. 滑动过期的隐性限制（可能性较低） #

虽然你没手动设置SlidingExpiration，但它默认是true（每次请求会刷新cookie的过期时间）。不过如果你的代码中在其他地方意外把ExpireTimeSpan设置成了20分钟，那超过这个时间后cookie就会失效，但你提到cookie显示过期时间是未来两周，所以这个可能性较低，不过可以排查确认。

快速排查建议 #

• 先删除Web.config中的传统Forms认证配置，确保项目完全依赖OWIN Cookie Authentication；
• 临时注释掉OnValidateIdentity的配置，测试长时间关闭浏览器后是否还需要重新登录，如果问题消失，说明是SecurityStamp验证环节的问题；
• 检查GenerateUserIdentityAsync方法，确认没有手动设置错误的身份有效期；
• 查看数据库AspNetUsers表的SecurityStamp字段，对比用户登录前后是否有意外变化。

内容的提问来源于stack exchange，提问作者Scott