多ASP.NET Core应用间Cookie共享及Entity Framework技术咨询

嘿，你的这个架构（前端视图Project A + 带EF的API Project B）是很典型的前后端分离但要共享用户身份的场景，要搞定Cookie共享其实核心就是让两个应用在Cookie加密规则、认证配置上完全对齐，再配合EF的身份存储复用，我给你一步步拆解：

1. 先搞定最关键的：共享数据保护密钥环 #

ASP.NET Core的Cookie是加密存储的，两个应用必须用同一个密钥来解密/加密Cookie，不然根本认不出彼此的Cookie。刚好你的Project B已经用EF连SQL Server了，直接把密钥存在数据库里最方便：

两个应用都要加的配置（Program.cs） #

builder.Services.AddDataProtection()
    .PersistKeysToDbContext<YourDbContext>() // 这里用Project B里的那个DbContext，Project A需要引用这个DbContext所在的类库哦
    .SetApplicationName("SharedCookieApp"); // 这个名称两个应用必须完全一样，用来隔离不同应用的密钥

要是你不想让Project A直接引用API的DbContext，也可以把数据保护的配置抽成一个独立的类库，两个项目都引用它就行。

2. 统一Cookie认证的核心配置 #

两个应用的Cookie认证参数必须完全匹配，差一点都不行，重点看这几个：

Project A（MVC视图项目）的认证配置 #

因为是视图项目，需要跳转登录页，配置可以这么写：

builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        options.Cookie.Name = ".SharedApp.Cookie"; // 两个应用的Cookie名字必须一模一样
        options.Cookie.Domain = ".yourdomain.com"; // 如果是同域名下的子应用（比如a.yourdomain.com和b.yourdomain.com），就设根域名；同一域名同端口的话可以省略，但建议明确
        options.Cookie.Path = "/"; // 确保整个域名下都能访问到这个Cookie
        options.LoginPath = "/Account/Login"; // 你的登录页面路径，要是登录逻辑在Project B，就指向B的登录端点
        options.Cookie.SameSite = SameSiteMode.Lax; // 跨域场景的话可能要设为None，但必须配合HTTPS
        options.Cookie.SecurePolicy = CookieSecurePolicy.Always; // 生产环境一定要开HTTPS，不然Cookie发不出去
    });

// 别忘了把认证和授权中间件加上，顺序别搞反！
app.UseAuthentication();
app.UseAuthorization();

Project B（REST API项目）的认证配置 #

API不需要跳转登录页，所以调整一下事件处理，其他核心参数和A保持一致：

builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        options.Cookie.Name = ".SharedApp.Cookie"; // 和Project A完全相同
        options.Cookie.Domain = ".yourdomain.com"; // 同上
        options.Cookie.Path = "/";
        options.Cookie.SameSite = SameSiteMode.Lax;
        options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
        // API收到未认证请求时返回401，而不是跳转登录页
        options.Events = new CookieAuthenticationEvents
        {
            OnRedirectToLogin = context =>
            {
                context.Response.StatusCode = StatusCodes.Status401Unauthorized;
                return Task.CompletedTask;
            }
        };
    });

app.UseAuthentication();
app.UseAuthorization();

3. 复用EF的身份存储（如果用ASP.NET Identity） #

要是你的Project B是用ASP.NET Identity + EF来管理用户数据的，那Project A完全不用自己再搞一套用户存储，直接复用就行：

1. 把包含IdentityDbContext的类库共享给Project A；
2. 在Project A的Program.cs里配置Identity：

builder.Services.AddDbContext<YourIdentityDbContext>(options =>
    options.UseSqlServer(builder.Configuration.GetConnectionString("YourConnectionString")));

builder.Services.AddIdentity<IdentityUser, IdentityRole>()
    .AddEntityFrameworkStores<YourIdentityDbContext>()
    .AddDefaultTokenProviders();

这样Project A就可以直接用UserManager、SignInManager处理登录，生成的Cookie会被Project B的API识别，完美共享身份。

4. 跨域配置（如果两个应用不在同一域名/端口） #

要是Project A和B跑在不同的端口或者域名下，还得配置CORS，允许A向B发请求时携带Cookie：

Project B的CORS配置（Program.cs） #

builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowProjectA", policy =>
    {
        policy.WithOrigins("https://yourapp-a.com") // 换成你Project A的实际地址，本地开发比如"https://localhost:5001"
              .AllowAnyHeader()
              .AllowAnyMethod()
              .AllowCredentials(); // 这个是关键！必须允许携带Cookie
    });
});

// 注意CORS中间件要放在认证之前，不然会失效
app.UseCors("AllowProjectA");
app.UseAuthentication();
app.UseAuthorization();

同时在Project A发送请求的时候，要确保请求会携带Cookie，比如用HttpClient的话：

var handler = new HttpClientHandler();
handler.UseCookies = true;
handler.CookieContainer = new CookieContainer();
var httpClient = new HttpClient(handler);
// 发送请求时就会自动带上共享的Cookie了
var response = await httpClient.GetAsync("https://yourapp-b.com/api/data");

几个容易踩坑的点 #

• HTTPS必须开：生产环境要是没开HTTPS，Cookie的SecurePolicy设为Always会导致浏览器根本不发送Cookie；
• Cookie名称和域必须完全一致：差一个字符都不行，浏览器只会共享相同名称和域的Cookie；
• 数据保护密钥别搞丢：要是密钥变了，之前的Cookie全部失效，用户得重新登录；
• 中间件顺序别乱：CORS要在认证之前，认证要在授权之前，不然会出各种奇怪的问题。

内容的提问来源于stack exchange，提问作者MuM6oJuM6o