IIS中基于OWIN的MVC父子站点身份认证无法传递求助

嘿，我之前帮不少开发者解决过这种基于OWIN的MVC5跨站点身份共享问题，结合你提到的场景（已经配置了MachineKey但身份还是传不过去），核心原因在于OWIN的Cookie认证机制和传统ASP.NET Forms认证逻辑不一样，光靠MachineKey一致还不够，得把OWIN层面的配置也统一起来。咱们一步步来：

1. 统一OWIN Cookie的核心配置 #

这是最关键的一步，两个站点的CookieAuthenticationOptions必须完全对齐，尤其是以下几个参数：

• AuthenticationType：必须完全相同（比如都用DefaultAuthenticationTypes.ApplicationCookie）
• CookieName：Cookie的名称要一模一样，默认是.AspNet.ApplicationCookie，别在其中一个站点改了名字
• CookiePath：一定要设为"/"！因为子站点是嵌套在父站点下的（比如父站是/，子站是/subsite），如果父站的Cookie路径是/，子站才能读到这个Cookie；要是父站的Cookie路径是默认的当前站点路径，子站就拿不到了
• CookieDomain：如果是同一域名下的嵌套站点，要么留空（自动适配当前域名），要么设为共同的父域名（比如.yourdomain.com，注意前面的点）

示例代码（两个站点的Startup.cs里都要这么写）：

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
    CookieName = ".AspNet.ApplicationCookie",
    CookiePath = "/",
    CookieDomain = null, // 或者根据你的域名设置为".yourdomain.com"
    Provider = new CookieAuthenticationProvider
    {
        OnValidateIdentity = SecurityStampValidator.OnValidateIdentity<ApplicationUserManager, ApplicationUser>(
            validateInterval: TimeSpan.FromMinutes(30),
            regenerateIdentity: (manager, user) => user.GenerateUserIdentityAsync(manager))
    }
});

2. 确保MachineKey的完全一致性 #

虽然你说子站点已经继承了父站点的MachineKey，但还是要再确认两点：

• 父站点的MachineKey配置要同时覆盖system.web和system.webServer节点（适配IIS的集成模式），示例如下：

<configuration>
  <system.web>
    <machineKey 
      validation="SHA1" 
      validationKey="YOUR_UNIQUE_VALIDATION_KEY" 
      decryption="AES" 
      decryptionKey="YOUR_UNIQUE_DECRYPTION_KEY" />
  </system.web>
  <system.webServer>
    <machineKey 
      validation="SHA1" 
      validationKey="YOUR_UNIQUE_VALIDATION_KEY" 
      decryption="AES" 
      decryptionKey="YOUR_UNIQUE_DECRYPTION_KEY" />
  </system.webServer>
</configuration>

• 子站点的web.config里绝对不能有自己的machineKey节点，必须完全继承父站点的配置，否则会覆盖掉导致加密解密不一致。

3. 对齐OWIN中间件的加载顺序 #

两个站点的Startup.cs里，中间件的加载顺序必须完全一致！尤其是UseCookieAuthentication要放在其他认证中间件（比如UseExternalSignInCookie、UseTwoFactorSignInCookie等）的前面，不能父站点先加载外部认证，子站点后加载，这会导致身份验证逻辑不匹配。

4. 验证Cookie的实际传递情况 #

用浏览器的开发者工具（F12）做个简单测试：

1. 在父站点登录成功后，查看「Application」标签下的Cookie，找到你设置的Cookie名称（比如.AspNet.ApplicationCookie），确认它的Path是/，Domain是正确的
2. 访问子站点，查看请求头里的Cookie字段，看这个Cookie是否被发送到服务器。如果没发送，那肯定是CookiePath或CookieDomain的配置有问题。

5. 保证用户身份类的序列化一致性 #

两个站点的ApplicationUser（或自定义的用户身份类）的结构必须完全一致：

• 属性名称、类型要一模一样，比如父站点有FullName字符串属性，子站点也得有，不能少也不能改类型
• 如果用了自定义的Claim，两个站点的Claim类型和添加逻辑也要一致
  因为OWIN会把用户身份序列化成Cookie内容，如果结构不一致，子站点无法反序列化，自然认不出登录状态。

6. 禁用传统Forms认证（如果存在） #

如果子站点之前用过传统的ASP.NET Forms认证，一定要在web.config里禁用它，避免和OWIN的Cookie认证冲突：

<system.web>
  <authentication mode="None" />
</system.web>

按照上面的步骤一一排查，基本就能解决OWIN MVC5嵌套站点的身份传递问题了——毕竟OWIN的Cookie认证是独立于传统ASP.NET管道的，得让两个站点的认证上下文完全对齐才行。

内容的提问来源于stack exchange，提问作者Beau D'Amore