ASP.NET Core非Identity Cookie认证应用池刷新及重复登录授权异常

嘿，针对你遇到的这两个认证相关的麻烦，我来逐个拆解原因，再给你具体的修复方案——这些都是实际项目里踩过的坑，应该能帮你解决问题：

问题1：关标签页一段时间后，明明有认证Cookie却被要求登录，再次登录后还重定向回登录页 #

这个问题大概率是JWT令牌有效期和Cookie有效期不匹配，再加上登录重定向逻辑的小bug导致的。

背后的原因 #

• 你API返回的JWT令牌过期时间设得太短，但Cookie的有效期又比JWT长，结果就是Cookie还在，但里面的JWT已经失效了。用户再次访问时，系统用失效的JWT验证失败，就跳去登录页；而再次登录时，因为没处理好返回URL，成功认证后又回到了登录页。
• 也可能是Cookie的持久化配置有问题，不过你说还持有Cookie，这个可能性不大，但还是得检查下。

修复步骤 #

1. 对齐JWT和Cookie的有效期
   在Startup.cs的ConfigureServices里，要确保JWT的验证参数和Cookie的过期时间完全匹配，比如都设为1小时。另外开启滑动过期，用户活跃时自动延长有效期：

   services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
       .AddJwtBearer(options =>
       {
           options.TokenValidationParameters = new TokenValidationParameters
           {
               ValidateIssuer = true,
               ValidateAudience = true,
               ValidateLifetime = true,
               ValidateIssuerSigningKey = true,
               ValidIssuer = Configuration["Jwt:Issuer"],
               ValidAudience = Configuration["Jwt:Audience"],
               IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["Jwt:Key"])),
               ClockSkew = TimeSpan.FromMinutes(5), // 给点时钟偏差的缓冲
           };
           options.Events = new JwtBearerEvents
           {
               OnMessageReceived = context =>
               {
                   context.Token = context.Request.Cookies["AuthToken"];
                   return Task.CompletedTask;
               }
           };
       })
       .AddCookie(options =>
       {
           options.Cookie.Name = "AuthToken";
           options.ExpireTimeSpan = TimeSpan.FromHours(1); // 和JWT有效期一致
           options.IsPersistent = true; // 要持久化的话，登录时记得绑定"记住我"选项
           options.SlidingExpiration = true; // 活跃时自动续期
           options.LoginPath = "/Account/Login";
       });
   

2. 修复登录后的重定向逻辑
   登录Action里要正确处理ReturnUrl，防止开放重定向，同时确保成功登录后跳转到用户原本要去的页面，而不是默认的登录页：

   [HttpPost]
   public async Task<IActionResult> Login(LoginViewModel model, string returnUrl = null)
   {
       // 默认跳主页
       returnUrl ??= Url.Content("~/");
   
       if (ModelState.IsValid)
       {
           // 调用API拿JWT
           var jwtToken = await _authApiService.Login(model.Username, model.Password);
           if (!string.IsNullOrWhiteSpace(jwtToken))
           {
               // 解析JWT里的声明，创建认证票据
               var jwtHandler = new JwtSecurityTokenHandler();
               var jwtTokenObj = jwtHandler.ReadJwtToken(jwtToken);
               var claimsIdentity = new ClaimsIdentity(jwtTokenObj.Claims, CookieAuthenticationDefaults.AuthenticationScheme);
               
               await HttpContext.SignInAsync(
                   CookieAuthenticationDefaults.AuthenticationScheme,
                   new ClaimsPrincipal(claimsIdentity),
                   new AuthenticationProperties
                   {
                       IsPersistent = model.RememberMe,
                       ExpiresUtc = DateTimeOffset.UtcNow.AddHours(1) // 和JWT、Cookie有效期对齐
                   });
   
               // 验证ReturnUrl是本站地址，防止恶意跳转
               if (Url.IsLocalUrl(returnUrl))
               {
                   return Redirect(returnUrl);
               }
               return RedirectToAction("Index", "Home");
           }
           ModelState.AddModelError("", "用户名或密码错误");
       }
       // 验证失败，返回登录页并保留ReturnUrl
       return View(model);
   }
   

3. 检查API返回的JWT过期时间
   确认API生成JWT时，exp声明的过期时间和你配置的1小时一致，别让API那边偷偷把令牌设成10分钟过期了。

问题2：应用池刷新后，认证授权直接失效 #

这个问题的核心是ASP.NET Core默认把认证票据的加密密钥存在内存里，应用池刷新（也就是应用重启）后，内存里的密钥没了，之前的认证Cookie就解密不了，自然就认不出用户了。

修复步骤 #

你需要把加密密钥持久化到外部存储，而不是用默认的内存存储：

1. 用文件系统存密钥（单服务器场景）
   在Startup.cs的ConfigureServices里添加数据保护的配置，把密钥存在一个安全的本地目录：

   services.AddDataProtection()
       .PersistKeysToFileSystem(new DirectoryInfo(@"D:\AppData\Keys")) // 选一个只有应用池能访问的目录
       .SetApplicationName("YourMvcApp"); // 应用名称固定，确保重启后密钥能被识别
   

   注意：一定要给这个目录设置正确的权限，只让应用池的身份有读写权限，避免密钥泄露。

2. 用分布式存储存密钥（多服务器/容器场景）
   如果你的应用部署在多台服务器或者用了Docker容器，就得用Redis、Azure Blob这类分布式存储来存密钥，比如用Redis：

   var redisConn = ConnectionMultiplexer.Connect("your-redis-connection-string");
   services.AddDataProtection()
       .PersistKeysToRedis(redisConn, "DataProtection-Keys")
       .SetApplicationName("YourMvcApp");
   

配置完之后，重启应用，登录生成Cookie，然后刷新应用池，再访问页面应该就能正常认证了，不用重新登录。

额外的安全小提示 #

• 记得给Cookie开启HttpOnly和Secure属性，防止XSS攻击和明文传输：

  options.Cookie.HttpOnly = true;
  options.Cookie.SecurePolicy = CookieSecurePolicy.Always; // 生产环境必须开，只在HTTPS下传Cookie
  

• 定期轮换加密密钥，但要保留旧密钥一段时间，让已有的Cookie能正常解密。

内容的提问来源于stack exchange，提问作者Bonnotbh