IdentityServer4如何设置服务端Cookie过期时间

你碰到的这个问题本质是客户端Cookie和IdentityServer4服务端的"idsrv"Cookie生命周期不同步——你只调整了客户端应用的Cookie过期时间，但服务端默认的会话Cookie是浏览器关闭就失效的类型，所以重启浏览器后，IdentityServer4那边已经没有你的身份会话记录了，自然会拒绝客户端的访问请求。

下面给你几个具体的解决步骤，亲测有效：

• 同步服务端"idsrv"Cookie的过期策略
  要在IdentityServer4的服务端配置里，明确设置服务端Cookie的过期时间，让它和客户端Cookie的生命周期匹配。在你的服务端Startup.cs（或者对应的配置类）中，找到AddIdentityServer的配置块，添加ConfigureCookieAuthentication来调整：

  services.AddIdentityServer()
      // 这里是你已有的配置，比如添加客户端、资源、测试用户等
      .AddInMemoryClients(Config.Clients)
      .AddInMemoryIdentityResources(Config.IdentityResources)
      .AddInMemoryApiResources(Config.ApiResources)
      .AddTestUsers(TestUsers.Users)
      .AddDeveloperSigningCredential()
      // 新增服务端Cookie配置
      .ConfigureCookieAuthentication(options =>
      {
          // 设置过期时间，和客户端保持一致，比如7天
          options.ExpireTimeSpan = TimeSpan.FromDays(7);
          // 开启滑动过期，每次活跃请求都会刷新Cookie过期时间
          options.SlidingExpiration = true;
          // 标记Cookie为必要，确保浏览器不会因隐私设置拒绝
          options.Cookie.IsEssential = true;
          // 明确设置Cookie的最大存活时间，和过期时间一致
          options.Cookie.MaxAge = options.ExpireTimeSpan;
      });
  

• 调整客户端的OIDC授权配置
  在客户端应用的授权配置里，要开启"记住登录"的选项，让IdentityServer4知道需要创建持久化的服务端会话Cookie。以OIDC客户端配置为例：

  services.AddAuthentication(options =>
      {
          options.DefaultScheme = "Cookies";
          options.DefaultChallengeScheme = "oidc";
      })
      // 客户端Cookie配置（你已经设置过的部分）
      .AddCookie("Cookies", options =>
      {
          options.ExpireTimeSpan = TimeSpan.FromDays(7);
          options.SlidingExpiration = true;
      })
      .AddOpenIdConnect("oidc", options =>
      {
          options.Authority = "https://your-identityserver-domain";
          options.ClientId = "your-client-id";
          options.ClientSecret = "your-client-secret";
          options.ResponseType = "code";
          options.SaveTokens = true;
          // 开启记住登录，对应服务端的持久化会话
          options.RememberLogin = true;
          // 可选：如果需要静默刷新授权（比如API请求），可以添加这个事件
          options.Events.OnRedirectToIdentityProvider = context =>
          {
              // 当API请求返回401时，发起静默授权请求
              if (context.Request.Path.StartsWithSegments("/api") && context.Response.StatusCode == 401)
              {
                  context.ProtocolMessage.Prompt = "none";
              }
              return Task.CompletedTask;
          };
      });
  

  这里的RememberLogin = true是关键，它会让IdentityServer4在用户登录时创建带有过期时间的idsrvCookie，而不是默认的会话级Cookie。

• 验证Cookie的持久化状态
  配置完成后，你可以在浏览器开发者工具的「Application -> Cookies」面板里，分别检查客户端应用的Cookie和IdentityServer4域名下的idsrvCookie：

  • 确认两者都有明确的「Expires/Max-Age」时间，而不是显示「Session」
  • 确保Secure属性已开启（在HTTPS环境下），提升Cookie的安全性

最后提醒一句：设置Cookie过期时间时要兼顾安全性和用户体验，不要设置过长的有效期，同时确保你的服务端和客户端都使用HTTPS，避免Cookie被明文传输窃取。

内容的提问来源于stack exchange，提问作者JakeJ