Identity Server 4 Cookie配置问题：MVC与Android客户端无法共存

我之前也碰到过几乎一模一样的问题——核心就是ASP.NET Core默认只能指定一个认证方案，但我们需要让API和MVC站点用完全不同的认证方式。别慌，咱们通过多认证方案+自定义授权策略就能完美解决，两边都能正常跑起来。

第一步：配置双认证方案 #

首先在Program.cs（如果是旧版.NET就用Startup.cs）里，不要设置默认认证方案，而是分别添加Bearer（给Android客户端）和Cookie（给MVC站点）两种认证，给它们起个明确的名字方便后续引用：

builder.Services.AddAuthentication()
    // 给Android客户端用的Bearer认证（和你之前的配置一致）
    .AddJwtBearer("Bearer", options =>
    {
        options.Authority = "https://你的IdentityServer地址";
        options.Audience = "你的API资源名称";
        // 这里可以补充JWT验证的细节，比如签名密钥、过期校验等
    })
    // 给MVC站点用的Cookie认证：核心是从Cookie里提取Bearer令牌并验证
    .AddCookie("Cookies", options =>
    {
        options.LoginPath = "/Account/Login";
        options.LogoutPath = "/Account/Logout";
        
        // 自定义Cookie验证逻辑
        options.Events = new CookieAuthenticationEvents
        {
            OnValidatePrincipal = async context =>
            {
                // 从Cookie的Claim中取出access_token
                var accessToken = context.Principal.Claims
                    .FirstOrDefault(c => c.Type == "access_token")?.Value;
                
                if (string.IsNullOrEmpty(accessToken))
                {
                    context.RejectPrincipal(); // 无令牌直接拒绝
                    return;
                }

                // 用和Bearer认证一致的参数验证JWT
                var validationParams = new TokenValidationParameters
                {
                    ValidAudience = "你的API资源名称",
                    ValidIssuer = "https://你的IdentityServer地址",
                    IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("你的签名密钥"))
                    // 也可以通过ConfigurationManager从IdentityServer动态获取密钥
                };

                try
                {
                    var jwtHandler = new JwtSecurityTokenHandler();
                    var validatedPrincipal = jwtHandler.ValidateToken(accessToken, validationParams, out _);
                    // 更新Principal为验证后的合法身份
                    context.Principal = validatedPrincipal;
                    context.ShouldRenew = true; // 可选：支持令牌自动刷新
                }
                catch (SecurityTokenException)
                {
                    context.RejectPrincipal(); // 验证失败则拒绝
                }
            }
        };
    });

第二步：配置分场景的授权策略 #

接下来给MVC和API分别配置专属授权策略，让它们各自绑定对应的认证方案：

builder.Services.AddAuthorization(options =>
{
    // MVC专用策略：强制使用Cookies认证方案
    options.AddPolicy("MvcAuth", policy =>
    {
        policy.AuthenticationSchemes.Add("Cookies");
        policy.RequireAuthenticatedUser();
    });

    // API专用策略：强制使用Bearer认证方案
    options.AddPolicy("ApiAuth", policy =>
    {
        policy.AuthenticationSchemes.Add("Bearer");
        policy.RequireAuthenticatedUser();
    });
});

第三步：给控制器绑定对应策略 #

现在把策略应用到对应的控制器上：

• MVC控制器/Action加[Authorize(Policy = "MvcAuth")]：

[Authorize(Policy = "MvcAuth")]
public class HomeController : Controller
{
    // 你的MVC业务方法
}

• API控制器/Action加[Authorize(Policy = "ApiAuth")]：

[Authorize(Policy = "ApiAuth")]
[Route("api/[controller]")]
[ApiController]
public class ValuesController : ControllerBase
{
    // 你的API接口方法
}

如果嫌逐个加属性麻烦，也可以全局配置：

// 给MVC全局绑定MvcAuth策略
builder.Services.AddControllersWithViews(options =>
{
    var mvcPolicy = new AuthorizationPolicyBuilder()
        .AddAuthenticationSchemes("Cookies")
        .RequireAuthenticatedUser()
        .Build();
    options.Filters.Add(new AuthorizeFilter(mvcPolicy));
});

// 给API全局绑定ApiAuth策略
builder.Services.AddControllers(options =>
{
    var apiPolicy = new AuthorizationPolicyBuilder()
        .AddAuthenticationSchemes("Bearer")
        .RequireAuthenticatedUser()
        .Build();
    options.Filters.Add(new AuthorizeFilter(apiPolicy));
});

第四步：MVC站点的登录逻辑（关键） #

最后要让MVC站点通过Identity Server获取access_token并存入Cookie，流程大概是：跳转到Identity Server登录 → 回调后拿到令牌 → 用Cookie认证登录：

public class AccountController : Controller
{
    public IActionResult Login(string returnUrl = "/")
    {
        // 跳转到Identity Server授权（需先配置OIDC客户端）
        var authProps = new AuthenticationProperties { RedirectUri = Url.Action("LoginCallback", new { returnUrl }) };
        return Challenge(authProps, "oidc");
    }

    public async Task<IActionResult> LoginCallback(string returnUrl)
    {
        // 获取OIDC认证结果
        var oidcResult = await HttpContext.AuthenticateAsync("oidc");
        if (!oidcResult.Succeeded)
        {
            ModelState.AddModelError("", "登录失败");
            return View("Login");
        }

        // 从OIDC结果中取出access_token
        var accessToken = oidcResult.Properties.GetTokenValue("access_token");
        if (string.IsNullOrEmpty(accessToken))
        {
            ModelState.AddModelError("", "未能获取访问令牌");
            return View("Login");
        }

        // 创建Cookie认证的身份信息，把access_token存入Claim
        var claims = new List<Claim>
        {
            new Claim("access_token", accessToken),
            // 可补充用户ID、角色等其他Claim
        };

        var cookieIdentity = new ClaimsIdentity(claims, "Cookies");
        var cookiePrincipal = new ClaimsPrincipal(cookieIdentity);

        // 用Cookies方案完成登录，令牌将存在Cookie中
        await HttpContext.SignInAsync("Cookies", cookiePrincipal, new AuthenticationProperties
        {
            IsPersistent = true,
            ExpiresUtc = DateTimeOffset.UtcNow.AddHours(1)
        });

        // 清理OIDC临时票据
        await HttpContext.SignOutAsync("oidc");

        return Redirect(returnUrl);
    }

    public async Task<IActionResult> Logout()
    {
        // 退出Cookie登录，同时通知Identity Server登出
        await HttpContext.SignOutAsync("Cookies");
        await HttpContext.SignOutAsync("oidc");
        return RedirectToAction("Index", "Home");
    }
}

别忘了配置OIDC客户端，让MVC能和Identity Server交互：

builder.Services.AddAuthentication()
    // 上面的Bearer、Cookie配置...
    .AddOpenIdConnect("oidc", options =>
    {
        options.Authority = "https://你的IdentityServer地址";
        options.ClientId = "你的MVC客户端ID";
        options.ClientSecret = "你的MVC客户端密钥";
        options.ResponseType = "code"; // 授权码流程
        options.Scope.Add("openid");
        options.Scope.Add("profile");
        options.Scope.Add("你的API资源名称"); // 必须添加才能获取API的access_token
        options.SaveTokens = true;
        options.GetClaimsFromUserInfoEndpoint = true;
    });

这样配置完成后，Android客户端可以正常用Bearer令牌请求API，MVC站点则通过Cookie中的令牌完成认证，两边就能同时正常工作了——我之前就是这么解决的，亲测有效！

内容的提问来源于stack exchange，提问作者rhfrench