Blazor Web App中ASP.NET Core Identity Cookie已存储但无法完成授权的问题

我来帮你分析这个头疼的问题——你明明在Blazor里完成了登录，浏览器也确实存了Cookie，但调用ASP.NET Core Web API时却一直返回Unauthorized，可直接用Swagger或Postman测试JWT、Cookie认证都正常，这大概率是跨应用认证的配置细节没处理到位，咱们一步步来排查解决：

一、先解决最核心的跨应用Cookie加密问题 #

你现在是两个独立的ASP.NET Core应用：SocialMedia.Front（Blazor端）和SocialMedia.Api（后端API）。默认情况下，每个ASP.NET Core应用的DataProtection加密密钥是各自独立的，也就是说Blazor端生成的Identity Cookie，后端API根本解密不了，自然会判定你未授权。

解决办法：让两个应用共享DataProtection密钥
开发环境下可以先把密钥存在同一个本地目录，两个应用都配置读取这个目录的密钥：
在两个应用的Program.cs中都添加这段配置：

builder.Services.AddDataProtection()
    .PersistKeysToFileSystem(new DirectoryInfo(@"C:\SharedAuthKeys")) // 换成你本地可访问的目录
    .SetApplicationName("SocialMediaSharedApp"); // 两个应用的ApplicationName必须完全一致

生产环境的话，建议用更安全的存储方式，比如Azure Key Vault或者专用的密钥管理服务，避免密钥泄露。

二、确认Cookie能被跨域发送到API #

虽然你在API的CORS配置里开了AllowCredentials()，但还要确保Blazor的HttpClient会自动带上Cookie：

如果是Blazor Server/Interactive Server模式 #

注册HttpClient时要配置Cookie处理逻辑：

builder.Services.AddHttpClient("ApiClient", client =>
{
    client.BaseAddress = new Uri("https://localhost:你的API端口/"); // 替换成你的实际API地址
})
.ConfigurePrimaryHttpMessageHandler(() => new HttpClientHandler
{
    UseCookies = true,
    CookieContainer = new CookieContainer()
});

如果是Blazor WebAssembly模式 #

要显式让HttpClient携带Cookie：

builder.Services.AddScoped(sp => new HttpClient(new HttpClientHandler { UseCookies = true })
{
    BaseAddress = new Uri("https://localhost:你的API端口/")
});

另外，你API里的Cookie配置SameSiteMode.None和CookieSecurePolicy.Always是对的，但要确保Blazor和API都是HTTPS协议（哪怕是localhost的HTTPS也可以），因为SecurePolicy.Always要求Cookie只能通过HTTPS传输。

三、检查Cookie的作用域（可选优化） #

如果Blazor和API是同一域名不同端口（比如https://localhost:7213和https://localhost:5001），可以在API的Cookie配置里加上Domain，让Cookie跨端口共享：

builder.Services.ConfigureApplicationCookie(options =>
{
    // 保留你原有的其他配置...
    options.Cookie.Domain = "localhost";
});

这样所有localhost下的端口都能识别这个Cookie。

四、调试排查小技巧 #

1. 看请求是否带Cookie：打开浏览器F12的Network标签，找到API请求，查看Request Headers里有没有Cookie: APICOOKIE=xxx——如果没有，就是跨域Cookie配置问题；如果有，那就是API解密Cookie失败（回到第一步的密钥共享问题）。
2. 开启认证日志：在API的Program.cs里加这段代码，查看详细的认证失败日志：

builder.Logging.AddFilter("Microsoft.AspNetCore.Authentication", LogLevel.Debug);

日志里会明确告诉你是Cookie无效、解密失败还是其他具体原因。

五、可选：换用JWT认证绕开Cookie跨域问题 #

如果觉得Cookie跨域配置太繁琐，也可以直接用JWT：在Blazor登录后把生成的JWT存在localStorage里，每次调用API时在请求头里带上Authorization: Bearer {你的JWT令牌}，这样就不用依赖Cookie的跨域传输了，稳定性会更高。

备注：内容来源于stack exchange，提问作者Emanuel Marques