Asp.Net Membership迁移至OAuth 2：新旧网站单点登录方案咨询

我之前帮不少开发者处理过类似的遗留系统与新系统共存的单点登录场景，给你几个靠谱的落地方案，你可以根据自己的重构进度来选：

方案一：Cookie共享 + OAuth2令牌交换 #

这是最快速的适配方案，不需要大改旧站的认证体系：

• 首先确保新旧网站处于同一个主域名下（比如旧站是old.yourdomain.com，新站是new.yourdomain.com），然后把旧站的Forms Authentication Cookie的domain设置为.yourdomain.com，这样子域名间可以共享这个Cookie。
• 在旧站新增一个专门的「令牌交换接口/页面」，这个页面的作用是：验证当前请求携带的Forms Auth Cookie是否有效（用Asp.Net Membership的Membership.ValidateUser之类的API），如果验证通过，就调用你的OAuth2 API服务器的令牌端点，生成一个合法的OAuth2令牌（比如JWT）返回给新的SPA。
• 新SPA启动时，先检查本地是否有有效令牌，如果没有，就跳转到旧站的这个令牌交换页面，拿到令牌后存在本地存储（比如localStorage），之后就可以用这个令牌访问新API的资源了。

⚠️ 注意：这个交换页面要做好安全防护，比如加CSRF验证（生成随机state参数），避免恶意请求滥用；同时Cookie要设置HttpOnly、Secure、SameSite=Strict这些安全属性，防止被盗用。

方案二：把旧站认证迁移到OWIN中间件，统一认证体系 #

如果你的重构计划是逐步淘汰旧站，这个方案更适合长期迭代：

• 在旧站中引入OWIN的Cookie认证中间件，把原来的Membership验证逻辑和OWIN做集成——比如用户登录时，还是用Membership的方法验证用户名密码，但验证通过后，用OWIN的API生成认证Cookie。
• 把新的OAuth2 API服务器和这个OWIN认证体系做对接，让旧站的认证Cookie可以被OAuth2服务器识别。这样用户在旧站登录后，新SPA可以通过OAuth2的授权码流程，直接从API服务器获取令牌，不需要重新登录。
• 这个方案的好处是，你可以逐步把旧站的功能迁移到新SPA，最后完全移除Membership，实现认证体系的统一。

方案三：搭建统一SSO服务器（比如IdentityServer4） #

如果你的系统后续还要扩展更多应用，这个方案的扩展性最好：

• 搭建一个基于IdentityServer4的统一身份认证服务器，把旧站的Membership用户数据同步到SSO服务器（或者让SSO服务器直接读取Membership的用户数据库）。
• 旧站通过Forms Authentication接入SSO服务器，用户登录旧站时实际是在SSO服务器完成认证，旧站只获取SSO的会话凭证。
• 新SPA通过OAuth2授权码流程接入SSO服务器，用户在旧站登录后，访问新SPA时会自动识别SSO的会话，直接获取令牌，实现无缝登录。

一些通用的安全建议 #

• 所有网站必须启用HTTPS，防止Cookie和令牌在传输过程中被窃取。
• 合理设置令牌的有效期，同时配置刷新令牌机制，让用户在令牌过期后可以自动刷新，不用频繁重新登录。
• 严格控制Cookie和令牌的权限，比如Cookie设置HttpOnly防止XSS攻击，令牌尽量避免存在localStorage（可以存在HttpOnly Cookie里，SPA通过后端代理获取）。

内容的提问来源于stack exchange，提问作者Tùng Trần