ASP.NET Core 外部登录调用SignInWithClaimsAsync后声明丢失配置方法

ASP.NET Core Identity 配套的应用Cookie认证默认采用精简存储设计：

• 生成的登录Cookie仅保存用户ID、安全戳、认证类型几个核心标识，不会把大段自定义声明全量持久化到Cookie中
• 默认配置下，系统每隔30分钟会对Cookie做一次有效性校验，校验过程会调用UserClaimsPrincipalFactory从数据库加载用户基础信息重建身份主体，这个重建流程不会包含你之前临时传入的自定义声明
• 通过SignInWithClaimsAsync方法传入的自定义声明，仅在第一次生成身份票据的瞬间生效，不会被自动持久化，只要触发身份重建流程就会被清空，这也是用户保持登录状态、但服务端读不到之前传入声明的根本原因。

• 扩展Cookie校验事件，避免自定义声明被默认逻辑覆盖
  在Startup的服务配置中，对应用Cookie做扩展，保留默认的安全戳校验逻辑的同时，补全需要长期保留的自定义声明：

  services.ConfigureApplicationCookie(options =>
  {
      options.SlidingExpiration = true;
      options.Events.OnValidatePrincipal = async context =>
      {
          // 保留默认的安全戳校验逻辑，保证登出、修改密码等操作能正常失效旧Cookie
          await SecurityStampValidator.ValidatePrincipalAsync(context);
          // 在这里把需要长期保留的自定义声明从数据库读取后，重新添加到当前身份主体中
          // 比如从用户表/用户声明表读取权限、角色等自定义字段，构造对应的Claim加入context.Principal
      };
  });
  

• 映射需要持久化的外部认证声明
  如果你需要保留Google登录返回的特定字段，要在配置Google认证的时候显式声明映射关系，不然这些字段不会被存到声明中，自然后续也读不到：

  services.AddAuthentication()
      .AddGoogle(options =>
      {
          // 原有ClientId、ClientSecret、回调路径配置保持不变
          // 把需要长期保留的Google返回字段映射为本地声明
          options.ClaimActions.MapJsonKey(ClaimTypes.Role, "role");
          options.ClaimActions.MapJsonKey("PermissionLevel", "permission_level");
      });
  

• 调整安全戳校验周期
  默认的30分钟校验间隔是触发声明丢失的直接诱因，如果你的自定义声明已经做了持久化存储，可根据业务需求调整校验间隔，避免频繁重建身份：

  services.Configure<SecurityStampValidatorOptions>(options =>
  {
      // 把校验间隔调整为和Cookie有效期一致，比如7天，减少不必要的身份重建
      options.ValidationInterval = TimeSpan.FromDays(7);
  });
  

• Cookie本身有大小限制（通常单Cookie不超过4KB），不要把大段的声明数据直接存在Cookie中，否则会导致请求头过大、网站响应变慢
• 和权限相关的自定义声明最稳妥的存储方式是放在数据库中，在Cookie校验时动态加载。这样既可以保证声明长期可用，也能在用户权限变更时自动同步，不会出现旧权限残留的安全问题

内容的提问来源于stack exchange，提问作者user3452883