Sitefinity采用Claims Authentication时刷新页面丢失用户会话求助

我之前处理过好几个类似的Claims身份验证会话丢失的问题，结合你提到的因为要使用OpenID功能无法切换到Forms Authentication的限制，给你几个针对性的解决方案：

• 确保ClaimsIdentity的持久化属性正确设置
  这是最常见的原因：当你创建ClaimsIdentity并执行登录操作时，一定要把IsPersistent设为true，这样身份验证票证才会被写入持久化Cookie，而不是仅存在于内存会话中。示例代码如下：

  var claims = new List<Claim>
  {
      // 这里添加你的用户Claims，比如用户名、角色等
      new Claim(ClaimTypes.Name, "your-username")
  };
  var claimsIdentity = new ClaimsIdentity(claims, "CustomClaimsAuth");
  var authProps = new AuthenticationProperties
  {
      IsPersistent = true,
      ExpiresUtc = DateTimeOffset.UtcNow.AddDays(7), // 根据业务需求调整过期时间
      AllowRefresh = true
  };
  await HttpContext.SignInAsync("CustomClaimsAuth", new ClaimsPrincipal(claimsIdentity), authProps);
  

  注意这里的认证方案名称（比如CustomClaimsAuth）要和你在服务配置里指定的完全一致。

• 检查认证中间件的顺序
  在.NET的请求管道中，中间件的顺序直接影响身份验证的执行逻辑。你必须确保：

  1. 先调用app.UseAuthentication()（负责解析身份信息）
  2. 再调用app.UseAuthorization()（基于身份信息做授权判断）
     如果顺序搞反了，刷新页面时授权逻辑会先执行，此时身份还未被解析，就会出现“未登录”的假象。

• 优化Cookie认证的配置
  针对Claims Auth的Cookie配置需要兼顾安全性和持久性，示例配置如下：

  services.AddAuthentication("CustomClaimsAuth")
      .AddCookie("CustomClaimsAuth", options =>
      {
          options.Cookie.HttpOnly = true; // 防止前端JS篡改Cookie，提升安全性
          options.Cookie.SecurePolicy = CookieSecurePolicy.Always; // 生产环境强制HTTPS传输Cookie
          options.ExpireTimeSpan = TimeSpan.FromDays(7); // Cookie有效期
          options.SlidingExpiration = true; // 当用户活跃时自动延长Cookie有效期
          options.Cookie.Name = "YourAppAuthCookie"; // 自定义Cookie名称，避免和其他Cookie冲突
      });
  

• 排查OpenID集成的潜在冲突
  因为你同时使用OpenID功能，要确保OpenID的认证方案和自定义Claims Auth的方案互不干扰：

  • 配置OpenID Connect时明确指定独立的认证方案名称，比如AddOpenIdConnect("OpenIDAuth", ...)
  • 在OpenID回调完成后，确保用户的Claims被正确合并到持久化的ClaimsPrincipal中，而不是仅临时存储
  • 如果需要同时支持两种认证方式，可以使用AddPolicyScheme来设置默认认证方案，避免冲突

• 添加身份验证的调试日志
  可以通过Cookie认证的事件钩子来调试每次请求的身份解析情况，比如在OnValidatePrincipal事件中添加日志：

  services.AddAuthentication("CustomClaimsAuth")
      .AddCookie("CustomClaimsAuth", options =>
      {
          options.Events = new CookieAuthenticationEvents
          {
              OnValidatePrincipal = context =>
              {
                  // 记录日志，检查Principal是否被正确解析
                  if (context.Principal == null)
                  {
                      // 这里可以写入错误日志，排查为何身份未被重建
                  }
                  else
                  {
                      // 验证Claims是否完整
                      var nameClaim = context.Principal.FindFirst(ClaimTypes.Name);
                      if (nameClaim == null)
                      {
                          // 记录缺失Claims的日志
                      }
                  }
                  return Task.CompletedTask;
              }
          };
      });
  

按照这些步骤排查和调整后，页面刷新后会话丢失的问题应该能得到解决。

内容的提问来源于stack exchange，提问作者mwgriffith