ASP.NET MVC生产环境出现__RequestVerificationToken防伪造Cookie缺失错误

这个问题我之前帮不少开发者排查过，本地正常但生产出问题，核心原因基本都和防伪造令牌的Cookie配置或者请求处理模式有关，咱们一步步来解决：

1. 先检查生产环境的Cookie安全配置 #

生产环境一般都是HTTPS，而本地可能用的是HTTP。如果你的防伪造令牌Cookie没设置成仅通过HTTPS传输，浏览器会出于安全考虑拒绝保存它，自然就会出现“Cookie不存在”的错误。

如果是传统ASP.NET MVC（非Core），在Global.asax.cs的Application_Start方法里加上这两句：

AntiForgeryConfig.CookieRequireSsl = true;
AntiForgeryConfig.CookieSameSite = SameSiteMode.Strict; // 或者Lax，根据你的业务场景选

如果是ASP.NET Core，就在Startup.cs的ConfigureServices里配置：

services.AddAntiforgery(options =>
{
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always; // 强制只通过HTTPS传Cookie
    options.Cookie.SameSite = SameSiteMode.Strict;
});

2. 异常返回视图时，确保令牌能重新生成 #

当你在catch块里直接返回视图时，有时候ModelState里的错误或者上下文状态异常会影响令牌生成。你可以在返回视图前，先把错误信息加到ModelState里，必要时可以重置一下状态：

catch (Exception ex)
{
    ModelState.AddModelError("", $"操作失败：{ex.Message}");
    // 如果发现令牌还是有问题，可以试试清除ModelState再返回
    // ModelState.Clear();
    return View(viewModel);
}

这样视图里的@Html.AntiForgeryToken()就能生成新的有效令牌了。

3. 推荐改用PRG模式处理异常（更稳妥） #

直接从Post请求返回视图，不仅容易引发令牌问题，还会导致用户刷新页面时重复提交表单。更可靠的做法是用Post/Redirect/Get（PRG）模式：

catch (Exception ex)
{
    TempData["ErrorMessage"] = $"操作失败：{ex.Message}";
    // 跳转到对应Get请求的页面，比如展示表单的页面
    return RedirectToAction("YourFormPage", new { id = viewModel.Id });
}

然后在Get页面的视图里，显示TempData里的错误信息：

@if (TempData["ErrorMessage"] != null)
{
    <div class="alert alert-danger">@TempData["ErrorMessage"]</div>
}

这种方式每次都会生成新的防伪造令牌，从根源上避免了令牌失效或Cookie不存在的问题，还能防止重复提交。

4. 最后验证生产环境的Cookie状态 #

可以用浏览器的开发者工具（F12 -> Application -> Cookies）查看__RequestVerificationToken这个Cookie是否存在，检查它的Secure、SameSite属性是否和你配置的一致，有没有被浏览器拦截。

内容的提问来源于stack exchange，提问作者fore_right