ASP.NET Core 2无法读取JavaScript创建的Cookie问题求助

兄弟，你的猜测完全没错！MyAntiforgeryCookie确实是ASP.NET Core的防伪Cookie，而且它默认是加密存储的——这就是为啥你在浏览器能看到它，但直接在控制器里读只能拿到一堆乱码似的加密内容，必须用框架提供的专用API来解密获取有效信息。

下面给你一步步讲怎么正确操作：

1. 用IAntiforgery服务读取防伪Cookie #

ASP.NET Core的防伪系统自带了IAntiforgery服务，专门处理Cookie的解密和验证，你不需要自己手动解密，直接注入这个服务就行：

具体步骤： #

• 先在控制器里注入IAntiforgery：

private readonly IAntiforgery _antiforgery;

public YourController(IAntiforgery antiforgery)
{
    _antiforgery = antiforgery;
}

• 然后在你的Action里读取并验证（如果需要的话）：

public async Task<IActionResult> YourAction()
{
    // 获取当前请求对应的防伪令牌集合，包含Cookie里解密后的值
    var tokenSet = await _antiforgery.GetAndStoreTokensAsync(HttpContext);
    
    // 这里就是Cookie中解密后的有效内容
    var decryptedCookieToken = tokenSet.CookieToken;
    // 如果是表单或AJAX请求，还会有对应的RequestToken，通常在表单字段或Header里
    var requestToken = tokenSet.RequestToken;

    // 要是你需要验证令牌的有效性，直接调用ValidateAsync就行
    try
    {
        await _antiforgery.ValidateRequestAsync(HttpContext);
        // 验证通过，该干啥干啥
        return Ok("防伪令牌验证成功");
    }
    catch (AntiforgeryValidationException)
    {
        // 验证失败，返回错误提示
        return BadRequest("无效的防伪令牌");
    }
}

2. 为啥直接读Cookie看不到有效内容？ #

ASP.NET Core的防伪Cookie默认用**数据保护系统（Data Protection）**加密，这是框架内置的安全机制，防止Cookie被篡改或者被人随便读取敏感信息。所以你在浏览器开发者工具里看到的Cookie值是加密后的字符串，只有通过IAntiforgery服务才能正确解密。

3. 针对任意控制器请求的注意事项 #

你说问题存在于任意控制器请求，不管是不是AJAX，这里给你提几个关键点：

• 如果是普通表单提交，防伪Token通常会自动生成在隐藏的__RequestVerificationToken字段里，框架会自动帮你验证，不用手动处理；
• 如果是GET请求，默认不会触发防伪验证，但如果你非要在GET请求里读取防伪Cookie，还是可以用上面的GetAndStoreTokensAsync方法拿到解密后的值；
• 确保你的项目里已经正确配置了防伪服务，比如在Program.cs里：

builder.Services.AddAntiforgery(options =>
{
    // 这里可以自定义你的Cookie名称，比如你的"MyAntiforgeryCookie"
    options.Cookie.Name = "MyAntiforgeryCookie";
});

4. 别踩坑！ #

千万别尝试手动解密防伪Cookie！数据保护系统的密钥是框架自动管理的，手动解密不仅麻烦得要死，还会破坏整个防伪机制的安全性，完全依赖IAntiforgery提供的API才是最靠谱的。

内容的提问来源于stack exchange，提问作者SamiHuutoniemi